在Firefox插件中使用setInterval可能存在漏洞吗？

Question

我是第一次编写Firefox插件，几个月前它已被接受。 该加载项经常调用第三方API。 同时，它再次被审查，现在它调用setInterval的方式受到批评：

setInterval以潜在危险的方式调用。 为了防止漏洞，仅应将函数表达式作为其第一个参数来调用setTimeout和setInterval函数。 引用函数名称的变量是可接受的，但已弃用，因为它们不适合静态源验证。

以下是有关我的插件的“体系结构”的一些背景知识。 它使用一个全局对象，该对象不过是名称空间而已：

if ( 'undefined' == typeof myPlugin ) {
    var myPlugin = {
        //settings
        settings : {},

        intervalID : null,

        //called once on window.addEventlistener( 'load' )
        init : function() {
            //load settings
            //load remote data from cache (file)

        },

        //get the data from the API
        getRemoteData : function() {
            // XMLHttpRequest to the API
            // retreve data (application/json)
            // write it to a cache file
        }
    }

    //start 
    window.addEventListener(
    'load',
    function load( event ) {
        window.removeEventListener( 'load', load, false ); needed
        myPlugin.init();
    },
    false
);
}

因此，这可能不是最佳做法，但我会继续学习。 间隔本身在init()方法内部被调用，如下所示：

myPlugin.intervalID = window.setInterval(
    myPlugin.getRemoteData,
    myPlugin.settings.updateMinInterval * 1000 //milliseconds!
);

还有一个设置间隔的要点：当对updateMinInterval设置进行更改时，设置（首选项）的观察者将清除当前间隔并按照与上述完全相同的方式进行设置。

当我得到这个权利，使用»函数表达式的解决方案«应该是这样的：

myPlugin.intervalID = window.setInterval(
    function() {
        myPlugin.getRemoteData();
    },
    myPlugin.settings.updateMinInterval * 1000 //milliseconds!
);

我对吗？

到目前为止，我已经忽略了“攻击”此代码的可能情况吗？

setInterval和setTimeout应该在Firefox附加组件中然后在»normal«前端javascript中以其他方式使用吗？ 因为在一些示例中， setInterval的文档准确地说明了使用声明的函数的方式。

Answer 1

我对吗？

是的，尽管我想现在您已经尝试过并发现它可以工作。

至于为什么要更改代码的原因，是因为警告消息中的部分内容是：“ 引用函数名称的变量是可接受的，但已弃用，因为它们不适合静态源验证 ”。

这意味着除非您对第一个参数遵循推荐的模式，否则无法自动计算执行setInterval调用的结果。

由于setInterval易受与eval（）相同类型的安全风险的影响，因此重要的是要检查调用是否安全，尤其是在特权代码（例如插件）中更是如此，因此此警告充当插件的危险信号-确保审阅者仔细评估此代码行的安全性。

您的初始代码应该被接受并且不会引起安全问题，但是附加组件审阅者将很高兴少考虑一个危险信号。

鉴于能够自动确定执行JavaScript的结果的功能对于性能优化以及自动安全检查很有用，我敢打赌，函数表达式也将更快地执行。