NowJS的安全性

Question

我发现了NowJS，一见钟情，它看起来非常酷。我玩弄了教程，它运行良好。

现在我问自己：这有多安全？是不是可以注入XSS？安全问题是在我的应用程序中使用它的最大障碍。

我应该像使用socket.io一样使用socket，还是以一种安全的方式让NowJS更容易？

Answer 1

看看这个博客帖子从now.js：

http://blog.nowjs.com/nowjs-and-security

您可以通过在客户端服务器端功能净化输入。因为它们不传递函数体，所以注入非常安全。

Answer 2

XSS是你必须保护自己的方式，你必须验证传入的数据并在将它放入文档之前将其转义。然而，更大的问题将是nowjs中允许代码执行或DOS与服务器混合的bug。

Answer 3

使用验证模块validator可以消毒什么正在发送：

everyone.now.distributeMessage = function(message) { 
    var str = sanitize(message).xss(); 
    everyone.now.receiveMessage(str); 
}