window.postMessage（）+ iframes +开发人员工具的安全性问题

Question

我已经阅读了有关如何使用window.postMessage()时避免安全问题的信息-尤其是该MDN文档中的建议。

但是鉴于所有的预防技巧都是客户端，所以我很难理解他们如何阻止不良行为者简单地在其开发人员工具中编辑更改代码。

这是我要处理的情况。 我有一个页面，其中将包含嵌入式iframe，并且可以控制该iframe（它位于单独的域中，但是提供该页面的供应商允许我将自定义JavaScript放入iframe源中）。 父窗口和iframe将来回通信。

/**
  window at https://firstgoodorigin.com

  Receives message from iframe to indicate
  its contents have loaded.

  Once that message has been received,
  send a message back to the iframe.
*/
function handleMessage(message) {
  if (message.origin === 'https://secondgoodorigin.com') {
    // verify and sanitize what's in message.data
    // (it'll be something like "loaded")
    // if it's good, send a message back
    message.source.postMessage('foo', 'https://secondgoodorigin.com');
  }
}

window.addEventListener('message', handleMessage, false);


/**
  iframe at https://secondgoodorigin.com

  Tell parent window it has loaded. Once that happens
  it will receive a message from the parent window, for
  which we add an event listener.
*/
window.addEventListener('load', () => {
  window.parent.postMessage('loaded', https://firstgoodorigin.com);
});

window.addEventListener('message', (message) => {
  if (message.origin === 'https://firstgoodorigin.com') {
    // verify and sanitize what's in message.data
    // do stuff
  }
});

鉴于window源代码和iframe源代码都可以在某人的Web检查器中进行编辑，如何阻止他们删除所有验证逻辑并将其替换为恶意软件？ 我在这里想念什么？

Answer 1

如最终用户的意愿中所提到的，Will可以编辑浏览器中的任何代码。 锁定后消息的目的是阻止第三个网站发布不需要的消息。

如果用户登录到该网站，然后加载了一个恶意网站，则该网站可以在iframe或弹出窗口中加载该网站，然后将未经授权的消息发布到该网站。