javascript - 开发小书签时需要考虑哪些设计和安全注意事项？

Question

我现在正在尝试设计一些小书签，它们连接回服务器(比如 magnolia)，但就其本质而言，小书签似乎在面对已建立的互联网安全性时飞来飞去，它们基本上是交叉的顾名思义，站点脚本，但是它们也是功能强大且很酷的工具，并且符合我的要求，所以我想使用它们。

但是，由于它们可能是 Javascript 用法中的丑小鸭，我想知道在它们的设计和安全性方面应该应用哪些特殊注意事项和常识。

谢谢!

编辑:我的一项政策是，如果用户在 https 页面内，小书签将不会启动。

Answer 1

用户真正要担心的是其他人的小书签。如果它来自不受信任的来源，您不知道它在激活时会做什么(窃取 cookie 或抓取敏感信息)。因为它是您的代码被跨站点注入(inject)，所以对您没有真正的危险，只会对您的用户造成危险如果你故意把它们放在那里。

编辑:

我会避免使用可能会干扰主机页面全局范围的代码，例如重新定义全局对象和原型(prototype)。您可以将所有 bookmarlet 代码放在一个功能 block 中以限制其范围:

(function(){

// your code

})()

该 block 中定义的任何变量和函数都不会干扰主机页面，除非您深入了解全局对象和原型(prototype)、DOM 等。如果您发布一个可能需要这样做的示例，我们可能会提供帮助与重构。