AHAH是安全风险吗？

我正在考虑在一个项目上广泛使用AHAH，并担心安全问题。攻击者能否将恶意代码注入我的响应中，然后在客户端执行？如果我的AJAX响应是JSON，我不必担心这一点，因为如果事情被篡改，JSON将不再有效。AHAH是安全风险吗？

另一方面。 AHAH似乎没有比任何正常的非https请求更大的风险。有什么我失踪或有什么其他想法？

2010-08-09 Icode4food

攻击者能否将恶意代码注入到我的响应中，然后在客户端执行？

难道他们不会这样做到没有Ajax的普通页面吗？ Ajax是一个普通的HTTP请求。这里没有什么新东西，同样的安全规则适用。

如果他们能在与AHAH篡改HTML，他们可以在这些请求的JSON/XML /文本乱动所以它是有效的。

2010-08-09 21:26:55 epascarello

我已经在这里和那里利用这一技术超过45年的过程中，从来没有真正有一个问题吧。你会想知道任何问题，因为任何JS大型应用程序都会担心。

如果从“xxx.com”和“xxx.com”您的应用程序请求的数据不是你的，或者如果你的服务器在您不知情的发射恶意HTML/JavaScript的，你比的数据 - 选择更大的担忧传输技术。

2010-08-09 21:29:25

这基本上是我期待的答案，但只是想确保没有我错过的东西。 – Icode4food 2010-08-09 21:32:41

@jeffreymb oah是啊，你只是想念基于xss的dom。 – rook 2010-08-10 02:36:38

与PHP等服务器端代码相比，JavaScript几乎没有安全问题。您必须在JavaScript中注意的一个问题是Dom Based XSS。

2010-08-09 21:34:54 rook

AHAH不是图书馆。基于DOM的XSS也可以应用于php页面。只需要在代码中注入点。 – epascarello 2010-08-09 21:42:01

@epascarello你错了，基于dom的xss *可以完全和完全独立于服务器端代码。在发布之前，你应该阅读更多内容。（所以我应该，虽然我仍然是正确的:) – rook 2010-08-09 21:59:32

XSS代码如何进入页面？某处存在缺陷。浏览器级别，服务器级别，用户级别或中间人攻击。服务器语言并不重要，但代码必须以某种方式进入页面。 – epascarello 2010-08-10 03:33:23

回答