HTML / Javascript：跟踪到外部站点的回调

Question

我需要找到一种方法来通知第三方网站我的网站上的用户操作。 不需要服务器端连接。 使用私钥散列来对请求进行签名，以使用户不会滥用它。

我的问题是如何安全地发送此请求。

• 跟踪图片：可能使用XSA
• iframe：XSA，分帧器
• 剧本包括：最好的邪恶
• JSONP（使用jQuery）：??
• 其他？

有人知道是否可以在JSONP答案中注入Javascript吗？ 我的意思是绕过浏览器界限JSONP是使用JSON作为参数调用函数的Javascript，但它也可能包含其他JavaScript调用。 jQuery是否以某种方式检查jsonp回调中是否存在恶意内容？

Answer 1

如果您只需要定位现代浏览器并控制所有域，则可以创建HTTP访问控制策略以允许它们彼此通信。 但是，由于情况并非如此，因此您将不得不使用JSONP。

有趣的是，您将“脚本包含”称为“最大程度的邪恶”，因为这正是JSONP的含义。 由于直到最近，浏览器仍无法跨域请求，因此从第三方客户端获取任何内容的唯一方法是包括该第三方的脚本。 JSONP只是利用了这种变通方法，即在函数定义内部返回JSON，然后您的脚本可以调用该JSON以获取包含的数据。