面对XSS漏洞的前端防火墙 整装待发
发布时间：2022-05-09 09:55:55 所属栏目：安全 来源：互联网
导读：到目前为止，我们把能用前端脚本防御XSS 的方案都列举了一遍。尽管看起来似乎很复杂累赘，不过那些是理论探讨而已，在实际中未必要都实现。我们的目标只是为了预警，能发现问题就行，并非要做到滴水不漏的程度。 兼容性 CSP 目前主流浏览器大多已支持，IE10
|
到目前为止，我们把能用前端脚本防御XSS 的方案都列举了一遍。尽管看起来似乎很复杂累赘，不过那些是理论探讨而已，在实际中未必要都实现。我们的目标只是为了预警，能发现问题就行，并非要做到滴水不漏的程度。 兼容性 CSP 目前主流浏览器大多已支持，IE10、11 支持部分功能。对于 IE10 之前的，当然就束手无策了。如果使用前端脚本实现，可根据浏览器的实际能力进退。 考虑到实际中，大多情况不做拦截，仅仅上报日志用以预警。对于这样低的需求，任何版本的浏览器都是完全可行的，甚至连 IE6 也没问题。 由于国内 IE 浏览器仍占有相当一部分比例，因此使用前端脚本的方案，能覆盖到更广的用户群体中。 部署 CSP 是通过 HTTP 头部实现的，策略配置储存在 Content-Security-Policy 这个字段里，因此得在 Web 服务器端进行配置。这对一些使用虚拟主机搭建的中小网站来说，配置起来比较麻烦。 而前端实现只需在页面里插入个脚本就行，完全不用关心后端的部署，修改策略也无需重启服务，维护起来容易的多。 不过，未来 CSP 会支持页面部署，通过 meta 标签即可配置策略，因此实用性会大幅提高。 当然，如今面临的各种问题，最终都能通过标准的完善和时代的进步而消失。所以任何方案都只是在解决当下的问题。 性能 毫无疑问，浏览器原生支持的肯定比模拟出来的更有效率。 之前考虑了各种情况，需安装各种事件和钩子，感觉很是累赘。不过，那只是理论上防御最严密的情况，现实中基本只作预警，并不需监控全开。 作为测试，我们还是考虑最严密的情况。根据前几篇文章探讨的结果，我们做一个原型演示。 （编辑：东莞站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐