HTML5开发中的安全风险

jopen 8年前

  本地储存功能的重大变化在 HTML 标准发展中引人注目,浏览器从只能使用 cookies 到能储存少量信息,如用于身份识别的会话令牌。而 HTML5 标准则引入了会话储存、本地储存和客户端数据库,开发者可以在浏览器中储存大量数据,所有这些数据都可以通过 JavaScript 访问。

     这种策略的风险在于攻击者可以检索或操作数据,然后被应用程序再次使用,甚至可能上传到服务器被用于攻击其他人。另一个风险与第三方代码有关,JavaScript 从只能请求来自其所加载域名的资源,到跨站资源请求,允许 JavaScript 请求不同域名的资源,这项新功能的引入需要有严格的使用策略防止被滥用。

来自: Solidot