


JS yang penting untuk menghalang kelemahan keselamatan bersama seperti XSS
Jul 01, 2025 am 01:27 AMPencegahan XSS memerlukan tiga aspek: penapisan input, pengekodan output dan CSP. 1. Penapisan input: HTML melarikan diri dari kandungan input pengguna, gunakan mekanisme putih untuk memproses teks yang kaya, melarang tag berbahaya, dan periksa mereka secara serentak di bahagian depan dan belakang; 2. Pengekodan output: Proses Menurut perbezaan lokasi output, kandungan HTML melarikan diri dengan entiti, atribut mengehadkan jenis, rentetan JS dilepaskan dengan sewajarnya, dan parameter URL dikendalikan dengan encodeuricomponent; 3. Tetapan CSP: Hadkan sumber skrip melalui HTTP Header Header-Security-Policy, Lumpuhkan skrip inline, dan gunakan pendengar acara bukan sebagai garis pertahanan keselamatan terakhir.
XSS (skrip lintas tapak) adalah salah satu isu keselamatan yang paling biasa dan diabaikan dalam pembangunan front-end. Sebagai bahasa teras front-end, banyak kelemahan keselamatan secara langsung berkaitan dengan bagaimana ia digunakan. Untuk benar -benar menghalang XSS, kita tidak boleh bergantung semata -mata pada perlindungan lalai rangka kerja, tetapi juga bermula dengan tabiat pengekodan dan seni bina keseluruhan.

Penapisan Input: Jangan biarkan kandungan jahat masuk
Intipati XSS adalah bahawa penyerang menyuntik skrip berniat jahat ke dalam halaman dan melaksanakannya. Cara yang paling langsung adalah melakukan penapisan semasa peringkat input pengguna.

- HTML melarikan diri semua kandungan input pengguna, seperti
<script></script>
menjadi<script></script>
- Gunakan mekanisme putih untuk mengendalikan kandungan teks yang kaya, dan tidak mudah membenarkan tag berbahaya seperti
<script></script>
dan atributon*
. - Pemeriksaan yang sama perlu dilakukan di sebelah pelayan, dan hujung depan dan belakang tidak boleh malas.
Sebagai contoh, jika anda menggunakan innerHTML untuk memasukkan terus data yang dimasukkan oleh pengguna, ia pada dasarnya membuka pintu belakang untuk penyerang. Kaedah interpolasi TextContent atau React {}
harus digunakan terlebih dahulu, yang secara automatik akan melepaskan aksara khas.
Pengekodan output: Konteks yang berbeza harus dirawat secara berbeza
Kedudukan output yang berbeza dan kaedah pertahanan yang berbeza. Anda tidak boleh menggunakan set peraturan yang sama untuk memproses data yang diletakkan dalam tag HTML, atribut, atau rentetan JS.

- Kandungan HTML : melarikan diri dengan entiti HTML
- Atribut HTML : Selain melarikan diri, sebaiknya menghadkan jenis atribut, seperti nilai input, yang lebih selamat.
- JS String : JS String Escape mesti dilakukan sebelum splicing ke tag skrip
- Parameter URL : Gunakan encodeuricomponent untuk mengendalikan
Sebagai contoh, jika anda menulis pautan yang dihasilkan secara dinamik <a href="..."></a>
, jika parameter URL berasal dari input pengguna, anda mesti mengekod terlebih dahulu, jika tidak, ia mungkin akan melompat ke pintu masuk laman web yang berniat jahat.
CSP (Dasar Keselamatan Kandungan): Barisan Pertahanan Terakhir
Walaupun anda tidak melakukannya dengan baik di bahagian depan, CSP boleh membantu anda dengan garis bawah. Ia boleh mengehadkan halaman untuk hanya memuat skrip dari sumber yang ditentukan, dan juga boleh melarang pelaksanaan skrip sebaris.
- Menyediakan header respons HTTP
Content-Security-Policy
- Melarang
'unsafe-inline'
, iaitu, kod seperti<script>...</script>
tidak dibenarkan berlari - Sekiranya anda ingin menggunakan pengendali acara sebaris (seperti onclick), disarankan untuk berhijrah ke addeventlistener
CSP tidak maha kuasa, tetapi ia adalah barisan terakhir pertahanan untuk keselamatan aplikasi anda. Terutama dalam projek -projek besar, sukar untuk memastikan bahawa setiap tempat dapat melarikan diri dan ditapis dengan betul, dan CSP menjadi sangat penting pada masa ini.
Pada dasarnya itu sahaja. Mencegah XSS daripada tidak rumit, tetapi mudah untuk mengabaikan butiran. Selagi anda membangunkan tabiat pengekodan yang baik dan bekerjasama dengan alat dan strategi yang betul, serangan XSS yang paling biasa dapat dielakkan.
Atas ialah kandungan terperinci JS yang penting untuk menghalang kelemahan keselamatan bersama seperti XSS. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!

Alat AI Hot

Undress AI Tool
Gambar buka pakaian secara percuma

Undresser.AI Undress
Apl berkuasa AI untuk mencipta foto bogel yang realistik

AI Clothes Remover
Alat AI dalam talian untuk mengeluarkan pakaian daripada foto.

Clothoff.io
Penyingkiran pakaian AI

Video Face Swap
Tukar muka dalam mana-mana video dengan mudah menggunakan alat tukar muka AI percuma kami!

Artikel Panas

Alat panas

Notepad++7.3.1
Editor kod yang mudah digunakan dan percuma

SublimeText3 versi Cina
Versi Cina, sangat mudah digunakan

Hantar Studio 13.0.1
Persekitaran pembangunan bersepadu PHP yang berkuasa

Dreamweaver CS6
Alat pembangunan web visual

SublimeText3 versi Mac
Perisian penyuntingan kod peringkat Tuhan (SublimeText3)

Terdapat tiga cara biasa untuk memulakan permintaan HTTP dalam node.js: Gunakan modul terbina dalam, axios, dan nod-fetch. 1. Gunakan modul HTTP/HTTPS terbina dalam tanpa kebergantungan, yang sesuai untuk senario asas, tetapi memerlukan pemprosesan manual jahitan data dan pemantauan ralat, seperti menggunakan https.get () untuk mendapatkan data atau menghantar permintaan pos melalui .write (); 2.AXIOS adalah perpustakaan pihak ketiga berdasarkan janji. Ia mempunyai sintaks ringkas dan fungsi yang kuat, menyokong async/menunggu, penukaran JSON automatik, pemintas, dan lain -lain. Adalah disyorkan untuk memudahkan operasi permintaan tak segerak; 3.Node-Fetch menyediakan gaya yang serupa dengan pengambilan penyemak imbas, berdasarkan janji dan sintaks mudah

Jenis data JavaScript dibahagikan kepada jenis primitif dan jenis rujukan. Jenis primitif termasuk rentetan, nombor, boolean, null, undefined, dan simbol. Nilai -nilai tidak berubah dan salinan disalin apabila memberikan nilai, jadi mereka tidak mempengaruhi satu sama lain; Jenis rujukan seperti objek, tatasusunan dan fungsi menyimpan alamat memori, dan pembolehubah menunjuk objek yang sama akan mempengaruhi satu sama lain. Typeof dan Instanceof boleh digunakan untuk menentukan jenis, tetapi memberi perhatian kepada isu -isu sejarah TypeOfNull. Memahami kedua -dua jenis perbezaan ini dapat membantu menulis kod yang lebih stabil dan boleh dipercayai.

Helo, pemaju JavaScript! Selamat datang ke berita JavaScript minggu ini! Minggu ini kami akan memberi tumpuan kepada: Pertikaian tanda dagangan Oracle dengan Deno, objek masa JavaScript baru disokong oleh pelayar, kemas kini Google Chrome, dan beberapa alat pemaju yang kuat. Mari mulakan! Pertikaian tanda dagangan Oracle dengan percubaan Deno Oracle untuk mendaftarkan tanda dagangan "JavaScript" telah menyebabkan kontroversi. Ryan Dahl, pencipta Node.js dan Deno, telah memfailkan petisyen untuk membatalkan tanda dagangan, dan dia percaya bahawa JavaScript adalah standard terbuka dan tidak boleh digunakan oleh Oracle

Janji adalah mekanisme teras untuk mengendalikan operasi tak segerak dalam JavaScript. Memahami panggilan rantaian, pengendalian ralat dan gabungan adalah kunci untuk menguasai aplikasi mereka. 1. Panggilan rantai mengembalikan janji baru melalui .then () untuk merealisasikan persamaan proses tak segerak. Setiap .then () menerima hasil sebelumnya dan boleh mengembalikan nilai atau janji; 2. Pengendalian ralat harus menggunakan .catch () untuk menangkap pengecualian untuk mengelakkan kegagalan senyap, dan boleh mengembalikan nilai lalai dalam tangkapan untuk meneruskan proses; 3. Gabungan seperti janji.all () (berjaya hanya berjaya selepas semua kejayaan), janji.race () (penyempurnaan pertama dikembalikan) dan janji.allsettled () (menunggu semua penyelesaian)

CACHEAPI adalah alat yang disediakan oleh penyemak imbas kepada permintaan rangkaian cache, yang sering digunakan bersempena dengan ServiceWorker untuk meningkatkan prestasi laman web dan pengalaman luar talian. 1. Ia membolehkan pemaju menyimpan sumber secara manual seperti skrip, helaian gaya, gambar, dan lain -lain; 2. Ia boleh memadankan tindak balas cache mengikut permintaan; 3. Ia menyokong memotong cache tertentu atau membersihkan seluruh cache; 4. Ia boleh melaksanakan keutamaan cache atau strategi keutamaan rangkaian melalui perkhidmatan pekerja yang mendengar acara mengambil; 5. Ia sering digunakan untuk sokongan luar talian, mempercepat kelajuan akses berulang, sumber utama dan kandungan kemas kini latar belakang; 6. Apabila menggunakannya, anda perlu memberi perhatian kepada kawalan versi cache, sekatan penyimpanan dan perbezaan dari mekanisme caching HTTP.

Gelung acara JavaScript menguruskan operasi tak segerak dengan menyelaraskan susunan panggilan, webapis, dan barisan tugas. 1. Stack panggilan melaksanakan kod segerak, dan ketika menghadapi tugas -tugas yang tidak segerak, ia diserahkan kepada Webapi untuk diproses; 2. Selepas Webapi melengkapkan tugas di latar belakang, ia meletakkan panggil balik ke dalam barisan yang sama (tugas makro atau tugas mikro); 3. Loop acara memeriksa sama ada timbunan panggilan kosong. Jika ia kosong, panggilan balik diambil dari barisan dan ditolak ke dalam tumpukan panggilan untuk pelaksanaan; 4. Tugas -tugas mikro (seperti janji. 5. Memahami gelung acara membantu mengelakkan menyekat benang utama dan mengoptimumkan pesanan pelaksanaan kod.

Gelembung peristiwa menyebarkan dari elemen sasaran ke luar ke nod nenek moyang, sementara penangkapan peristiwa menyebarkan dari lapisan luar ke dalam ke elemen sasaran. 1. Bubbles Acara: Selepas mengklik elemen kanak -kanak, acara itu mencetuskan pendengar elemen induk ke atas. Sebagai contoh, selepas mengklik butang, ia mengeluarkan anak -anak terlebih dahulu, dan kemudian ParentClicked. 2. Tangkap Acara: Tetapkan parameter ketiga menjadi benar, supaya pendengar dilaksanakan di peringkat penangkapan, seperti mencetuskan pendengar penangkapan elemen induk sebelum mengklik butang. 3. Penggunaan praktikal termasuk pengurusan bersatu peristiwa elemen kanak -kanak, pemprosesan pemintasan dan pengoptimuman prestasi. 4. Aliran acara DOM dibahagikan kepada tiga peringkat: menangkap, sasaran dan gelembung, dan pendengar lalai dilaksanakan di peringkat gelembung.

Dalam tatasusunan JavaScript, sebagai tambahan kepada peta dan penapis, terdapat kaedah lain yang kuat dan jarang digunakan. 1. Mengurangkan bukan sahaja dapat jumlah, tetapi juga mengira, kumpulan, array meratakan, dan membina struktur baru; 2. Cari dan FindIndex digunakan untuk mencari elemen atau indeks individu; 3. Beberapa dan segala -galanya digunakan untuk menentukan sama ada keadaan wujud atau semua memenuhi; 4.Sort boleh disusun tetapi akan mengubah array asal; 5. Beri perhatian untuk menyalin array apabila menggunakannya untuk mengelakkan kesan sampingan. Kaedah ini menjadikan kod lebih ringkas dan cekap.
