在服務器上驗證JavaScript代碼

Question

我的網站上有一個文本區域，用戶可以在其中添加Java腳本代碼。 我需要檢查此代碼是否包含任何惡意代碼。 有哪些選擇

1. 客戶端端
2. 服務器端

或者在哪里可以找到檢查惡意代碼的好材料。

Answer 1

原因是網絡郵件站點（例如gmail）在呈現HTML消息時會剝離所有Javascript，這是因為很難驗證（如果不是不可能的話）任何代碼是否是惡意的（尤其是在即將到來的上下文中執行）來自您的域，從而引發了許多XSS問題）。

如果您確實需要Javascript支持，則可以在刪除所有其他內容的同時將一些支持的功能列入白名單，但是即使這條路線也充滿了危險。

如果安全性很重要，則應強烈考慮是否確實需要Javascript。 一種變通辦法是在創建HTML時為用戶提供您自己的解釋語言或將其轉換為Javascript的函數集（對我來說，這是唯一安全的選擇）。