AngularJS JSON漏洞保护是如何工作的

How does the AngularJS JSON vulnerability protection work?

本文关键字：工作 何工作 JSON 漏洞 保护 AngularJS      更新时间：2023-09-26

angular网站建议在您的JSON前面加上)]}''n，以防止它们被称为JSONP:

JSON漏洞允许第三方网站在某些情况下将您的JSON资源URL转换为JSONP请求。为了应对这种情况，您的服务器可以在所有JSON请求前面加上以下字符串"）]｝'，''n"。Angular将在将前缀处理为JSON之前自动剥离前缀。

但引用的文章中没有提到这些括号，感觉这很容易解决（因为我的JSONView chrome插件已经打了补丁，把它们去掉了。为什么这对"攻击者"不起作用？）。

相反，本文建议将JSON包装为对象：

{"d": ["Philha", "my-confession-to-crimes", 7423.42]}

这在某种程度上保护了你。

为什么AngularJS支持这种（奇怪的）保护，而是否有效？我不知道该如何测试。

为什么这对"攻击者"不起作用？

为了去除字符，您必须有权访问文件的原始内容。

Chrome扩展可以访问它。将<script>指向原始文件的人不会。

为什么AngularJS支持这种（奇怪的）保护，

因为它有效；）

它有效吗？

是的。当文件被当作JavaScript处理时，它会在到达数组之前在第1行抛出一个错误。这将阻止它尝试评估数组，因此被覆盖的数组构造函数将无法从中读取数据。

令人高兴的是，安全问题似乎只存在于非常古老的Firefox版本中，所以你可能根本不需要担心这一点。

相关文章：