通過 ajax 加載 HTML 和 js 是否安全？

Question

我正在使用 Jquery 加載 function $('#result').load('test.php'); 通過單擊選項卡將頁面加載到另一個頁面。 我正在加載的頁面包含 javascript、php，並包含一個表單。 使用螢火蟲控制台，我看到我正在加載的頁面中的所有腳本源都有一個GET 。 不知道這是否應該是一個問題..

可以通過 jquery 負載入侵數據嗎？ 有什么問題需要考慮嗎？

注意：我知道舊瀏覽器不能與 javascript 一起使用，但還有什么需要考慮的嗎？

Answer 1

使用 AJAX 加載內容不會引入任何額外的安全問題。

攻擊者可以劫持連接並注入他自己的 Javascript（除非您使用 HTTPS），但他也可以對頁面本身執行此操作。

攻擊者可以利用您后端的 XSS 漏洞來運行他自己的 Javascript，但他也可以對頁面本身執行此操作。

Answer 2

只要您的網站沒有受到損害，您自己的數據的 XHR 本質上並不比任何其他請求更危險。

Answer 3

這實際上取決於您對腳本來源的信任程度。 如果你控制它們，那么就沒有（額外的）問題。 如果您從其他地方獲取它們（例如，來自 Google 的 CDN 的 jQuery），那么您就是信任該來源。