javascript - 鉴于 "social sharing"徽章 ("Like"按钮等的流行，您如何降低与第三方 Javascript 相关的风险？

Question

我有一个营销团队想要在我们的网站上添加社交分享按钮(Facebook、G+、SU 等)。安全团队提出了一个我不好意思承认我之前没有真正考虑过的观点:由于第 3 方 JS 是一种攻击媒介，我们不应该直接从第三方服务器加载它。

风险

我将以 Facebook 为例。 FB 的某个人可以添加一些偷偷摸摸的后门代码来监视用户，或者至少从我们的网站上获取他们的电子邮件和姓名。 DNS 缓存中毒可用于服务于恶意 Javascript 而不是预期的 FB 库。等等 - 这里可能有更多的攻击媒介。

可能的解决方案

- 在本地托管 JS(在审查它是否存在安全漏洞之后)，并在 cron 上运行 curl+diff 以监视更新——在托管之前审查那些更新。这实际上并不可行，因为 FB 和 g+ 都在加载其主要库后在异地加载其他库，而我还没有找到解决方法。

-不使用社交分享按钮？

这里有公认的最佳实践吗？我的第一 react 是，拜托，这是谷歌和 Facebook。如果他们的社交分享按钮发生恶意事件，整个互联网将在 0.001 秒内知晓。你怎么说？

Answer 1

除此之外，确实没有任何普遍接受的解决方案:

1. 盲目信任 Facebook/Google 等。
2. 不要使用他们的脚本。