naoyaさんとmiyagawaさんが面白い議論をされていたので、僕もちょっと考えてみました。
お二人の議論を参考に図にしてみると、こんな感じになるのかなと思いました。
こうして図にしてみると、以下のようなアイデアが出てきました。
今は時間がないのでこの辺で。
ただ、任意の他ドメインのJavaScriptを読み込ませるのは、きっとセキュリティリスクが伴う話なので、まあ一度サーバかませたほうがいいのかも。でもわたってきたJSONデータをすぐにJavaScript側でevalしちゃうなら一緒だね。
信用できないユーザーからのJSONデータを、そのままevalしてしまうと、もし悪意のあるコードがそのJSONデータの中に入っていたりすると、確かに危険ですね。
JSONデータにプログラミングが入っていたら、それをフィルタリングして、純粋なデータだけにしてしまう、もしくはrejectしてしまうといった振る舞いを、サーバサイドで実現できれば、JSONでもよさそうな気がします。
UI as Commonsな考え方で、Webサービスを連携していくには、こういったセキュリティーの問題もクリアしていかなければならないのだなぁと、改めて思いました。