javascript - 如果网页使用 SSL (https)，​​为什么我们不在 CDN 上使用 JavaScript 库？

Question

对于 jQuery 或 YUI3 等 JavaScript 库，Google 或 Yahoo 在其 CDN 上托管脚本，并且 YUI 3 Cookbook paragraph说:

perhaps your pages use SSL, in which case loading remote resources is a bad idea, as it exposes your users’ secure information to the remote site

我只能看到CDN站点必须是受信任的，否则恶意JavaScript可以在www.mycompany.com的网页上运行。但是假设 CDN 站点(Google 和 Yahoo)得到很好的信任，为什么 SSL 网页不想在 CDN 上包含那些 JavaScript 库——它如何“将用户的安全信息暴露给远程站点”，如书？

Answer 1

通过 SSL 将外部 Javascript 库加载到加密网页可被视为背叛了用户的信任，因为从理论上讲，用户提供给网站的信息不再只是他们与安全网站之间的信息。此外，如果外部图书馆遭到破坏，传递到网站本身的信息也可能受到破坏。

YUI3 开发人员 Ryan Grove 对此进行了详细阐述 here .

简而言之，

[...] you’re letting FooCo execute any JavaScript it wants on your website. You’re loading that JavaScript securely over SSL, so the browser isn’t displaying any scary warnings, but now your users aren’t just communicating with buygadgets.example.com. Now they’re also communicating with cdn.foolib.com, and since cdn.foolib.com can run JavaScript on your pages, they can also see any information the user reads or enters on those pages.

当然，您是否决定通过 SSL 提取外部可执行代码与安全性对您的特定用例的重要性有关，并且对这个问题有不同的看法。