javascript - 通过 location.replace 替换哈希被认为是有害的？

Question

在我遇到哈希替换的应用程序中，通过以下方式完成:

var loc = window.location + ''
loc = loc.substr(0, loc.indexOf('#'))
loc += '#somehash'
location.replace(loc)

代替:

location.hash = '#somehash'

现在，当我们使用来自 window.location 的数据调用 location.replace 时，DOMinator Pro 会发出“URL 重定向 JSExecution”警告。我现在想知道这是否是一个真正的威胁，因为我想不出攻击者可以滥用它来执行 URL 重定向攻击的方法。

这是真正的攻击媒介还是误报？

Answer 1

我同意其他答案，这可能是误报。不过，使用此类代码当然很容易出错，正如 Bergi 的 slice 示例所示。

在modern browsers ，这段代码可以更简洁地写成:

var loc = new URL("#somehash", location);
location.replace(loc);

这避免了任何巧妙地搞乱 URL 操作的可能性。