个人中心
文章发布
退出
作者热门文章
- android - RelativeLayout 背景可绘制重叠内容
- android - 如何链接 cpufeatures lib 以获取 native android 库？
- java - OnItemClickListener 不起作用，但 OnLongItemClickListener 在自定义 ListView 中起作用
- java - Android 文件转字符串
27
4
我正在构建一个用于运行不受信任代码的沙箱。出于这个原因，我创建了一个沙盒 iframe(仅在其 sandbox 属性中设置了 allow-scripts 权限)以保护来源，然后在该 iframe 中我创建一个 web-worker 以确保一个单独的线程并防止卡住主应用程序，以防不受信任的代码具有例如无限循环。
问题是，如果我尝试通过 https 加载沙箱，最新的 Google Chrome 不允许创建工作程序。在其他浏览器上它可以工作，如果我通过 http 在 Chrome 中加载沙箱，它也可以工作。
代码如下:
index.html:
<!DOCTYPE html>
<html>
<head>
<title>Sandbox test</title>
<script type="text/javascript" src="main.js"></script>
</head>
<body></body>
</html>
main.js:
// determining absolute path of iframe.html
var scripts = document.getElementsByTagName('script');
var url = scripts[scripts.length-1].src
.split('/')
.slice(0, -1)
.join('/')+'/iframe.html';
window.addEventListener("load", function() {
var iframe = document.createElement('iframe');
iframe.src = url;
iframe.sandbox = 'allow-scripts';
iframe.style.display = 'none';
document.body.appendChild(iframe);
window.addEventListener('message', function(e) {
if (e.origin=='null' && e.source == iframe.contentWindow) {
document.write(e.data.text);
}
});
}, 0);
iframe.html:
<script src="iframe.js"></script>
iframe.js:
var code = 'self.postMessage({text: "sandbox created"});';
var url = window.URL.createObjectURL(
new Blob([code], {type: 'text/javascript'})
);
var worker = new Worker(url);
// forwarding messages to parent
worker.addEventListener('message', function(m) {
parent.postMessage(m.data, '*');
});
演示:
http://asvd.github.io/sandbox/index.html - http 演示(无处不在)
https://asvd.github.io/sandbox/index.html - https 演示(在 Chrome 中不起作用)
https://github.com/asvd/asvd.github.io/tree/master/sandbox - 来源(与这个问题中的内联完全一样)
Google Chrome 然后提示:
混合内容:位于“https://asvd.github.io/sandbox/iframe.html”的页面' 通过 HTTPS 加载，但请求了不安全的 Worker 脚本 'blob:null/a9f2af00-47b1-45c1-874e-be4003523794'。此请求已被阻止；内容必须通过 HTTPS 提供。
我还尝试通过 https 从文件而不是 blob 加载工作代码，但这在任何地方都不允许，因为我无法从 iframe 访问同源文件。
我想知道是否有机会在不向 iframe 添加 allow-same-origin 权限的情况下在 Chrome 中使用这样的沙箱。
最佳答案
正如您所发现的，Chrome 不允许您从 https 页面访问非 https 内容(例如数据 blob)，并且还会将 blob URL 视为非 https。如果没有 allow-same-origin，它就无法从任何域加载任何工作脚本文件。
我唯一的建议是从单独的 https 服务域(/子域)提供 iframe，然后同时使用 allow-scripts 和 allow-same-origin。由于位于单独的域中，iframe 中的代码仍然无法访问父页面的 DOM/数据。
关于javascript - 如何在沙盒 iframe 中创建工作人员？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/30558817/
27
4
0
前言： 有时候，一个数据库有多个帐号，包括数据库管理员，开发人员，运维支撑人员等，可能有很多帐号都有比较大的权限，例如DDL操作权限(创建，修改，删除存储过程，创建，修改，删除表等），账户多了，管理
所以我用 Create React App 创建并设置了一个大型 React 应用程序。最近我们开始使用 Storybook 来处理和创建组件。它很棒。但是，当我们尝试运行或构建应用程序时，我们不断遇
遵循我正在创建的控件的代码片段。这个控件用在不同的地方，变量也不同。 我正在尝试编写指令来清理代码，但在 {{}} 附近插入值时出现解析错误。 刚接触 Angular ，无法确定我错过了什么。请帮忙。
我正在尝试创建一个 image/jpeg jax-rs 提供程序类，它为我的基于 post rest 的 Web 服务创建一个图像。我无法制定请求来测试以下内容，最简单的测试方法是什么？ @POST
我一直在 Windows 10 的模拟器中练习 c。后来我改用dev C++ IDE。当我在 C 中使用 FILE 时。创建的文件的名称为 test.txt ，而我给出了其他名称。请帮助解决它。 下面
当我们创建自定义 View 时，我们将 View 文件的所有者设置为自定义类，并使用 initWithFrame 或 initWithCode 对其进行实例化。 当我们创建 customUITable
我正在尝试为函数 * Producer 创建一个线程，但用于创建线程的行显示错误。我为这句话加了星标，但我无法弄清楚它出了什么问题...... #include #include #include
今天在做项目时，遇到了需要创建JavaScript对象的情况。所以Bing了一篇老外写的关于3种创建JavaScript对象的文章，看后跟着打了一遍代码。感觉方法挺好的，在这里与大家分享一下。 &
我正在阅读将查询字符串传递给 Amazon 的 S3 以进行身份验证的文档，但似乎无法理解 StringToSign 的创建和使用方式。我正在寻找一个具体示例来说明 (1) 如何构造 String
前言:我对 C# 中任务的底层实现不太了解，只了解它们的用法。为我在下面屠宰的任何东西道歉: 对于“我怎样才能开始一项任务但不等待它？”这个问题，我找不到一个好的答案。在 C# 中。更具体地说，即使任
我有一个由一些复杂的表达式生成的 ILookup。假设这是按姓氏查找人。 (在我们简单的世界模型中，姓氏在家庭中是唯一的) ILookup families; 现在我有两个对如何构建感兴趣的查询。 首
我试图创建一个 MSI，其中包含 和 exe。在 WIX 中使用了捆绑选项。这样做时出错。有人可以帮我解决这个问题。下面是代码: 错误 error LGH
在 Yii 中，Create 和 Update 通常使用相同的形式。因此，如果我在创建期间有电子邮件、密码、...other_fields...等字段，但我不想在更新期间专门显示电子邮件和密码字段，但
上周我一直在努力创建一个给定一行和一列的 QModelIndex。 或者，我会满足于在已经存在的 QModelIndex 中更改 row() 的值。 任何帮助，将不胜感激。 编辑: QModelInd
出于某种原因，这不起作用: const char * str_reset_command = "\r\nReset"; const char * str_config_command = "\r\nC
现在，我有以下由 original.df %.% group_by(Category) %.% tally() %.% arrange(desc(n)) 创建的 data.frame。 DF 5),
在今天之前，我使用/etc/vim/vimrc来配置我的vim设置。今天，我想到了创建.vimrc文件。所以，我用 touch .vimrc cat /etc/vim/vimrc > .vimrc 所
我可以创建一个 MKAnnotation，还是只读的？我有坐标，但我发现使用 setCooperative 手动创建 MKAnnotation 并不容易。 想法？ 最佳答案 MKAnnotation
在以下代码中，第一个日志语句按预期显示小数，但第二个日志语句记录 NULL。我做错了什么？ NSDictionary *entry = [[NSDictionary alloc] initWithOb
我正在使用与此类似的代码动态添加到数组； $arrayF[$f+1][$y][$x+1] = $value+1; 但是我在错误报告中收到了这个: undefined offset :1 问题:尝试创
我是一名优秀的程序员,十分优秀！