javascript - 在第三方 iframe 上保护脚本注入(inject)和执行

Question

我希望能够将脚本注入(inject)到由我自己的服务器提供的页面内的 iframed 页面(托管在第 3 方服务器上)(以可视化 wysiwyg 应用程序的更改)。

由于我在“目标”页面上有一个小的 stub 脚本，我猜想只有一个方法可以允许任意脚本执行传递给它的任何内容。显然这听起来不像是安全的东西，因为它会为一些整洁的 XSS 打开一个攻击向量。我保护它的想法之一是将某种 token 与我要运行的脚本一起传递， stub 客户端代码将与服务器进行检查，然后才执行脚本。这有意义吗？有人能给我指出任何先例吗？

非常感谢

Answer 1

首先，听起来您控制了实际 iFrame 中的少量代码。与其建议允许其他人通过该 stub 注入(inject)脚本(这会使您面临各种攻击)，不如将您想要的实际“安全”代码放在 iframe 中，然后只通知一个结果的父框架？

其次，有无数关于安全跨域 iframe 通信的网页。由于我仍然不确定您到底想做什么，您可能需要自己进行搜索并找到最适合您的机制。在 Google 上搜索“安全跨域 iframe 通信”可找到大量信息。

第三，我遇到的最喜欢的文章是Cross Domain Communication with iFrames最安全的技术看起来像postMessage因为它仅共享数据，不允许代码调用并且实际上可以检查它信任的来源，尽管 postMessage 仅在较新的浏览器中可用，因此您将不得不回退到也适用于旧浏览器的其他技术之一。这是一个 jQuery plugin在可用时使用 postMessage，在不可用时回退到另一种技术。

如果此信息还不够，那么请告诉我们更多有关您尝试在 iFrame 中执行的操作或您尝试在两个来源之间传递哪些信息的信息？