是否代理第三方腳本引入XSS攻擊？

Question

嘗試通過an SSL或SPDY連接發送第三方腳本是當前最熱門的話題。

第三方的代理腳本是否會更改瀏覽器中腳本的來源和沙箱，並引入受感染的第三方成爲攻擊媒介的風險？

如果是這樣，該如何避免？

Answer 1

使用第三方腳本始終是一個安全問題。代理不會改變這一點。

請記住，所有腳本都在頁面的上下文中運行，而不管它們的來源。這就是爲什麼首先使用CDN來實現圖書館的原因。例如，如果有人以ajax.googleapis.com爲例，這個世界可能會遇到很多麻煩。

唯一的區別是，當從http主機代理腳本時，您將繞過mixed content security warning。

如果是這樣，這怎麼能避免？

複製，不要代理。