为什么内联 JavaScript 安全性很差? [英] Why is inline JavaScript security bad?

查看：35 发布时间：2021/7/17 20:27:25 javascript security

本文介绍了为什么内联 JavaScript 安全性很差?的处理方法，对大家解决问题具有一定的参考价值，需要的朋友们下面随着小编来一起学习吧！

问题描述

我知道内联 JS 对性能不利，但为什么对安全不利?你能解释一下为什么吗?举些例子?

I know that inline JS is bad for performance, but why is it bad for security? Can you please explain to me why? With some examples?

推荐答案

限制性内容安全策略可以通过禁止除具有特定哈希值的脚本之外的所有脚本¹ 来帮助减少脚本注入漏洞的影响.

A restrictive content security policy can help to reduce the impact of script injection vulnerabilities by disallowing all scripts except those with a certain hash¹.

如果您以 on* 属性或 javascript: 网址的形式使用内联 JavaScript，则根本无法实施此类政策，因此那肯定不太安全.

If you use inline JavaScript in the form of on* attributes or javascript: URLs, you can’t implement this type of policy at all, so that’s definitely less safe.

如果您以 <script>s 的形式使用内联 JavaScript，而没有 src，那么创建哈希或随机数用于在一个 CSP，这可能会诱使人们根本不添加一个.nonce 策略还允许动态脚本，这通常是坏主意(几乎是动态脚本的唯一用途 - 在


        
            相关文章
            
                    
                        
                            大型服务器上的安全性很差;
                        
                    
                    
                        
                            javascript缩小的安全性是什么;
                        
                    
                    
                        
                            javascript eval（）和安全性;
                        
                    
                    
                        
                            安全性;
                        
                    
                    
                        
                            PHP $ _GET安全性，$ _POST安全性最佳实践;
                        
                    
                    
                        
                            suPHP有什么安全性吗?;
                        
                    
                    
                        
                            PHP安全性;
                        
                    
                    
                        
                            PouchDB安全性;
                        
                    
                    
                        
                            Logstash安全性;
                        
                    
                    
                        
                            .NET安全性;
                        
                    
                    
                        
                            wkgroup安全性;
                        
                    
                    
                        
                            安全性 - SQL;
                        
                    
                    
                        
                            软件安全性;
                        
                    
                    
                        
                            API设计和安全性：为什么隐藏内部ID？;
                        
                    
                    
                        
                            弹簧安全性不能与“安全性"参数匹配.格式?;
                        
                    
                    
                        
                            什么是ASP.NET Identity中的安全性令牌和安全性标记?;
                        
                    
                    
                        
                            为什么未为Postgres视图启用行级安全性？;
                        
                    
                    
                        
                            API设计和安全性：为什么要隐藏内部ID？;
                        
                    
                    
                        
                            API 设计和安全性:为什么要隐藏内部 ID?;
                        
                    
                    
                        
                            为什么要使用CAS（C访问安全性$ C $）？;
                        
                    
                    
                        
                            为什么不应该将“强命名"用于安全性?;
                        
                    
                    
                        
                            如何保证AWS JavaScript SDK的安全性?;
                        
                    
                    
                        
                            jQuery Ajax安全性;
                        
                    
                    
                        
                            Android JavascriptInterface 安全性?;
                        
                    
                    
                        
                            Windows服务安全性;


    
        
            前端开发最新文章
            
                    
                        
                            为什么Chrome（在Electron内部）突然重定向到chrome-error：// chromewebdata？;
                        
                    
                    
                        
                            错误102（net :: ERR_CONNECTION_REFUSED）：服务器拒绝连接;
                        
                    
                    
                        
                            如何解决'重定向已被CORS策略阻止：没有'Access-Control-Allow-Origin'标题'？;
                        
                    
                    
                        
                            如何处理“Uncaught（in promise）DOMException：play（）失败，因为用户没有首先与文档交互。”在桌面上使用Chrome 66？;
                        
                    
                    
                        
                            警告：添加非被动事件侦听器到滚动阻塞'touchstart'事件;
                        
                    
                    
                        
                            如何在浏览器中播放.TS文件（视频/ MP2T媒体类型）？;
                        
                    
                    
                        
                            此请求已被阻止;内容必须通过HTTPS提供;
                        
                    
                    
                        
                            资源解释为样式表，但转换为MIME类型text / html（似乎与web服务器无关）;
                        
                    
                    
                        
                            通过HTTPS加载页面但请求不安全的XMLHttpRequest端点;
                        
                    
                    
                        
                            拒绝从执行脚本'*'，因为它的MIME类型（“应用/ JSON'）不是可执行文件，并严格MIME类型检查被启用。;
                        
                    
            
        
        
            
                热门教程
            
            
                
                    
                        Java教程
                    
                
                
                    
                        Apache ANT 教程
                    
                
                
                    
                        Kali Linux教程
                    
                
                
                    
                        JavaScript教程
                    
                
                
                    
                        JavaFx教程
                    
                
                
                    
                        MFC 教程
                    
                
                
                    
                        Apache HTTP客户端教程
                    
                
                
                    
                        Microsoft Visio 教程
                    
                
            
        
        
            
                热门工具
            
            
                
                
                    
                        Java 在线工具
                    
                
                
                    
                        C(GCC) 在线工具
                    
                
                
                    
                        PHP 在线工具
                    
                
                
                    
                        C# 在线工具
                    
                
                
                    
                        Python 在线工具
                    
                
                
                    
                        MySQL 在线工具
                    
                
                
                    
                        VB.NET 在线工具
                    
                
                
                    
                        Lua 在线工具
                    
                
                
                    
                        Oracle 在线工具
                    
                
                
                    
                        C++(GCC) 在线工具
                    
                
                
                    
                        Go 在线工具
                    
                
                
                    
                        Fortran 在线工具

为什么内联 JavaScript 安全性很差? [英] Why is inline JavaScript security bad?

问题描述

推荐答案

相关文章

前端开发最新文章

热门教程

热门工具

登录 关闭

登录关闭