javascript - 在 iFrame 中安全地执行 HTML5/Javascript

Question

我想开发一个网站来托管 HTML5 游戏。由于这些游戏有可能包含恶意 javascript，我想知道如何设置一个安全的环境来托管它们。

似乎用 iframe 嵌入游戏是答案，但我对网站开发比较陌生，所以有一些问题:

• 有没有一种简单的方法可以在同一域中安全地托管游戏，或者...

• 游戏是否必须托管在不同的域上，然后嵌入到 iframe 中，以便它无法与父文档交互？

• 如果游戏在托管在另一个域上时执行，它能否以任何恶意方式与该托管域交互？

Answer 1

跨站点脚本和 cookie 的超范围将是这里的一个大问题。使用浏览器的同源策略将是一种有值(value)的防御方法。 ref1 ref2

• 确保您的网站从不同的域提供给贡献者应用程序。 (例如 coolgames.com 与 mycoolgames.com)- 这会将您的代码的原始范围与他们的分开。
• 确保每个不同的贡献者都从唯一的子域(例如 bob.mycoolgames.com、dave.mycoolgames.com)提供他们的应用程序/游戏 - 这将有助于隔离不同开发人员的来源。每个人都需要小心，不要将 cookie 的范围限定在 .mycoolgames.com 上，否则他们会过度暴露自己。

您可能还希望利用新的 Content Security Policy 进一步保护您自己的应用程序现代浏览器的支持。这将另外帮助 mitigate反对clickjacking attacks .

关于 iframe:

您能解释一下为什么您认为您需要使用 iframe 吗？好的老式链接有什么问题？

如果图形设计要求必须使用 iframe，您可以轻松地将所有嵌入式游戏嵌入 www.mycoolgames.com 的动态页面中，您不会在其中保留任何敏感系统、数据或代码 - 保留所有内容仅在 *.coolgames.com 上的应用程序上的用户身份验证系统、CMS 系统和数据