javascript - 在让客户将 javascript 添加到网页之前，我应该采取哪些预防措施？

Question

问题:让客户在页面中添加自定义JS脚本，有什么注意事项？

如果您需要更多详细信息:

我正在为一家公司开发类似项目的自定义 CMS，CMS 有许多“组”，每个订阅者“拥有”他们在其中做自己的事情。

新的要求是一些团体希望添加谷歌分析以查看他们的表现。所以我很自然地在表中添加了一列并进行了代码调整，因此如果该列中有一些数据，我只需在母版页中使用以下行来设置脚本:

ScriptManager.RegisterClientScriptBlock(Page, typeof(Page), "CustomJs", CustomJs, true);

它工作得很好，只是，它让我想到了......

对于非常了解如何从 js 访问 cookie 等的人来说，这真的很容易。当然，每个组都经过审核，只有 super 管理员才能添加此 javascript，当然，他们不会傻到黑掉自己的组。 每个组都有自己的代码，因此不可能破解其他组 但仍然

我不太愿意让用户添加他们自己的 javascript 代码。我可以自己监控每个组，但组的增长非常快，我会遇到我无法再这样做的时候。

那么，简而言之:我应该采取什么预防措施来避免任何事故？

ps: 确实尝试过谷歌，没有任何令人信服的答案。

Answer 1

与其允许用户添加他们自己的 Javascript 文件，而且考虑到这里唯一的要求是谷歌分析，为什么不让他们将他们的分析 ID 放入 CMS，如果它存在，输出相关的谷歌分析代码？

通过这种方式，您可以满足用户的需求，同时也无需防范恶意脚本。