Meteor.js和CSRF/XSS攻擊

Question

Meteor.js框架已經處理了針對CSRF和XSS攻擊的措施嗎？如果不是，我們必須考慮哪些其他預防措施？

Answer 1

流星的頁面渲染引擎在處理數據綁定時處理轉義特殊符號，從而避免非常基本的XSS攻擊。此外，Meteor還提供非常易於使用的API來控制瀏覽器策略（http://docs.meteor.com/#browserpolicy），例如取景選項或內容策略選項。

值得一提的是check和audit-argument-checks軟件包 - 這些軟件包可以幫助您根據用戶輸入的類型來驗證用戶輸入以防止MongoDB注入。

在Meteor中不可能發生CSRF攻擊，因爲框架本身根本不使用cookie，並且更喜歡HTML5 localStorage，這很難欺騙。

對於高級帳戶權限，請檢查meteor-roles包：https://atmospherejs.com/alanning/roles，您可以手動執行所有這些操作，但該軟件包很好（但它不是核心的一部分）。

查看此頁面以瞭解更多信息：http://security-resources.meteor.com/。

此外，Emily Stark，流星核心開發流星談到了很多關於安全以及它如何幫助你在你的應用程序獲得控制權安全性：

• Original talk at Meteor Devshop 6
• Lightning talk on Mongo injection she found
• A talk at Hack Reactor
• Meteor and Web Security talk at Pivotal Labs
• Security in single-paged apps talk at GitHub
• Why Meteor doesn't use session cookies