javascript - 如何检查网站是否已安全加载

Question

我想知道有什么方法可以在 JavaScript 中检查该网站是否已完全安全地加载，并且它没有在用户的网站上被修改(例如被恶意插件修改)

我发现此类恶意插件通常会通过添加广告或其他恶意脚本来破坏 SSL，因此我想知道如何检测混合内容警告，例如此图片上显示的警告: (图片取自https://www.ssl2buy.com/wiki/fix-mixed-content-nonsecure-items-error-on-ssl-secure-site)

我发现了以下问题，但我认为这些问题并没有完全回答我的问题:

• > How can I use JavaScript on the client side to detect if the page was encrypted?
• > How do I determine whether a page is secure via JavaScript?

我的问题是如何检测网站是否加载不安全(或在用户端修改)，即使使用的协议(protocol)是 https://

旁注:我知道这样的脚本可以很容易地被添加恶意脚本/广告/等的插件删除，但是我更喜欢有额外的安全层。

Answer 1

I was wondering whatever there is way to check in JavaScript that the website was loaded fully securely

假设恶意插件能够操纵您的 DOM 内容，我相信您做不到。

但是您可以检查页面是否加载时完全加密。

这样做的一种方法是检查 A) 当前 URL 和 B) DOM 中所有 href 和 src 属性的协议(protocol)。但这不能证明您的页面已完全安全地加载。它可能只能确认您网站上所有加载的内容都已加密，但攻击者可以(而且他们确实这样做了)获得 TLS/SSL 证书(例如使用 letsencrypt)并简单地使用 HTTPS 分发其恶意代码。此外，您还必须检查您的 DOM 以查找 iFrame，它也可能执行恶意代码。

您唯一可以解决该问题的方法是如上所述检查所有 href 和 src，并另外将它们与白名单进行比较。

最终，正如您已经提到的，恶意插件很容易阻止您的脚本。因此，我不相信这样的剧本值得花时间。