「同源產品策略」和從谷歌加載的腳本 - 易受攻擊的解決方案？

Question

我在SO「jQuery Linking vs. Download」這裏讀到了這個問題，我總覺得不明白。

如果您在http://yourserver.com上承載頁面，但是從http://ajax.googleapis.com加載jQuery庫，然後使用jQuery腳本中定義的函數，會發生什麼？

在這種情況下，「同源原則」不算嗎？我的意思是，你可以將AJAX調用回http://yourserver.com嗎？
被執行的JavaScript是否被視爲來自yourserver.com？

我的問題在於，您不知道用戶從某些第三方服務器（對不起，谷歌）下載了什麼，仍然在他的計算機上執行的代碼與從服務器上下載的代碼一樣好？

編輯：這是否意味着_that如果我從第三方使用Web統計計數器我不太瞭解，他們可能會「注入」一些代碼並調用我的Web服務，就好像它們的代碼是礦？

Answer 1

網站http://yourserver.com/的擁有者應該信任它從其他服務器（在本例中是Google的）所引用的內容。相同的來源策略不適用於「腳本」標記。

當然，外部服務器（一旦加載）的腳本可以訪問整個DOM：因此，如果外部內容受到威脅，則可能存在安全風險。

與網絡世界中的許多事情一樣，它歸結爲信任和持續管理。

編輯：

這是否意味着_that如果我使用網絡 統計計數器從第三方我 不很瞭解，他們可能 「注入」一些代碼，調入我的 Web服務就好像他們的代碼是我的部分 ？

是的。

Answer 2

是的，該政策不適用於<script>標籤。

如果有人能夠破解谷歌的腳本存儲，它會影響每個域的每個頁面，它使用google.com作爲腳本的主機。

最新問題

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 相關問題

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.