JavaScript庫的安全審查

Question

任何人都可以推薦一些工具或方法來做一些JavaScript庫的源代碼「安全評論」。特別是跨站腳本（XSS）活動可能會由不道德的個人留下。

理想情況下，類似於「RATS - 粗糙審計工具安全性」，可用於JavaScript，它解析關鍵詞或指示潛在漏洞的構造的源代碼。

或者

添加到我的事情清單，要特別注意/做...
*檢查MD5SUM（如果有的話！）
* JavaScript的林特（www.javascriptlint.com）
* JS林特（www.jslint.com）

查找出以下關鍵詞（grep的被灌注並準備採取行動）： - JAVASCRIPT，EVAL，形式，內容，餅乾，HREF，SRC
- 位置，哈希，主機，主機名，href，路徑名，端口，pr otocol，搜索，
- 分配，重裝更換，
- URL，onload事件，fromCharCode
- 協議 - HTTP FTP SSH遠程登錄（任何其他方面？）
- &＃\ d \ d \ d的Unicode？

在此先感謝

邁克

Answer 1

我想你應該特別注意什麼傳遞給文件撰寫，並myDomNode.innerHTML在

myDomNode.innerHTML = '<b>' + needsToBeEscaped + '</b>'; 
document.write('<b>' + needsToBeEscaped + '</b>'); 

然後，腳本你需要擔心通常的嫌疑人：

eval(...) 
new Function(...) 

如果應用程序使用本地存儲，則還應該查找SQL注入。

構建鏈接的URL或作爲XMLHttpRequest的目標時，URL的任何動態部分都應該使用encodeURIComponent進行轉義，並且還應該分析XMLHttpRequest的POST主體。

潛在惡意模式的好資源是http://code.google.com/p/google-caja/wiki/AttackVectors