さらに、 JSONPのコールバック関数に指定できる文字列を自由に設定できるようにしてしまうとその部分にJavaScriptやHTMLを書くことができてしまうので、 使用できる文字列は制限したほうがよいでしょう （例えば [a-zA-Z0-9_.\[\]] など⁠） ⁠。

ブラウザ上のJavaScriptでの非同期処理を、今までどのように実現してきたか 「コールバック地獄」なども乗り越えてきた歴史 ...