javascript - window.postMessage() "secure"怎么样？

Question

请耐心等待，我只有一些 Web 开发经验。在 window.postmessage() 文档中，显示了用于监听监听页面上由 postmessage() 引起的事件的语法。出于安全原因明确指出，当触发事件监听器时，应检查 event.origin 以确保它来自预期的主机。通常以时尚的方式完成:

if ( event.origin == somehostname.com) {}

令我困惑的是，为什么恶意用户不能仅使用断点暂停代码并修改某些 hostname.com 值。同样的事情可能适用于 postmessage() 调用本身以及目标 origin 参数。当有人可以在字符串值发生之前编辑字符串值时，这如何提供任何“安全性”？

Answer 1

您理论上的恶意用户已经拥有对这两个网站的客户端的完全访问权限。他们不需要 postMessage 来访问其中任何一个的数据。

同源策略旨在阻止恶意网站使用浏览器用户(被诱骗访问恶意网站)的凭据访问来自不同网站的数据。

postMessage 可以限制允许哪些源读取其发送的消息，因此如果网站使用它发送包含 secret 信息的消息，它可以将发布的消息标记为 some-trusted-website.com 这将阻止恶意网站读取该消息。