HTML5 Game Arcade - 安全

Question

我正在考虑创建一个简单的 html5 游戏厅，人们可以在其中提交他们的游戏，然后由我托管。

游戏将直接在浏览器中运行。内容加载后，他们将不会访问任何服务器。很像老式的 flash 街机网站(Miniclip 等)。它不会是单人游戏。

我担心游戏访问的内容主要是注册/登录用户的用户 session 数据。

我想知道在不审核提交的每一行代码的情况下保护这些代码的最佳方法是什么？

目前我在想我应该在不同的域(可能是 cdn)上托管游戏，然后将它们放在 iframe 中。

这行得通吗？我还应该做些什么来确保游戏无法访问有关用户的信息吗？

Answer 1

即使来自不同域的 iframe 的内容不允许访问父级的 DOM，仍然有几种方法可以通过在 iframe 上加载不受信任的内容来危及用户的安全。

例如，iframe 可以重定向到不安全的站点、提供恶意软件或使用某种网络钓鱼方案(例如在 iframe 上显示“ session 已过期”消息以及模拟登录表单)来窃取用户密码。在所有这些情况下，由于地址栏中显示的 URL 始终是您网站的 URL，因此用户更有可能信任其内容并在出现问题时责怪您。

我不知道有什么解决方案可以自动检查提交的代码是否是恶意的，如果你找到了，我会对它的有效性非常谨慎。以网络钓鱼为例。在那种情况下，代码本身没有任何问题(因为某些游戏可能为其玩家提供真正的登录表单)，它是在其中显示的上下文(作为您真实登录表单的模型)是什么让它是恶意的。