在服务器上验证JavaScript代码

Question

我的网站上有一个文本区域，用户可以在其中添加Java脚本代码。 我需要检查此代码是否包含任何恶意代码。 有哪些选择

1. 客户端端
2. 服务器端

或者在哪里可以找到检查恶意代码的好材料。

Answer 1

原因是网络邮件站点（例如gmail）在呈现HTML消息时会剥离所有Javascript，这是因为很难验证（如果不是不可能的话）任何代码是否是恶意的（尤其是在即将到来的上下文中执行）来自您的域，从而引发了许多XSS问题）。

如果您确实需要Javascript支持，则可以在删除所有其他内容的同时将一些支持的功能列入白名单，但是即使这条路线也充满了危险。

如果安全性很重要，则应强烈考虑是否确实需要Javascript。 一种变通办法是在创建HTML时为用户提供您自己的解释语言或将其转换为Javascript的函数集（对我来说，这是唯一安全的选择）。