javascript PHP→javascript 値渡し

Question

※bbbにはDBから取得した0か1が入る
・PHP側

<?php $aaa = $this->bbb> ・javascript側 Event.observe("marumaru_from","submit",function(evt){ var $ccc = <?php echo json_encode($aaa); ?>;

if($ccc == 1){
    alert("エラーメッセージ")
}

}.bindAsEventListener("marumaru_from"),false);

上記のPHPの変数をjavascriptに渡してその変数をif文の判定に使っています。
渡す際にjsonに変形していますが、XSS(クロスサイトスクリプティング)の標的にならないか懸念しています。セキュリティは大丈夫でしょうか？？

Answer 1

Event.observeの挙動がわかりませんが、直にphpから書き出しているものは
CORSで弾かれることはないでしょう（文法エラーなどなければ）
ただ、あまり行儀はよくないのでjson/jsonpでの参照がよいと思います

Comments

[wada3]

ありがとうございます。json/jsonpとはどういうことでしょうか

[yambejp]

jsonは非同期でphpで用意されたAPIにデータを取りに行く方法です。
jsonpは主にjsonデータをコールバック関数を利用してあとからjsに取り込む手法です

[wada3]

なるほどです。jsonpを調べてみます。ありがとうございます。

[wada3]

ちょっと難しそうなので、具体的にjsonpを今回のjson対応からjsonpに書き換えてもらえないでしょうか？

[yambejp]

Event.observeとか不明な箇所が多いので例示は難しいです
もっと簡単な例にしてもいいなら・・・・
jsonp自体はサーバー側のAPIが必要なことは理解されています？

[wada3]

jsonｐでなく、jsonで値を渡していますが簡単なアラートを出すだけなので問題はないですか？

[yambejp]

肝心のjsonデータはどういうものなかのかも例示されていないです

[wada3]

intの1か0をphpに渡しています。json変換後アラートに出しても1か0で表示されました