服务器上的 Javascript 安全性

Question

我正在开发一个网络应用程序，用户可以在其中上传文件并执行它们。我的意思是，他们可以上传 html 文件，然后通过单击，他们可以在我的 Web 应用程序内的 iframe 中执行该文件并查看渲染的 html。

出于安全原因，我拒绝上传 php 文件，因为这些文件可能会访问我的服务器并造成困惑。

我想知道是否使用 javascript 他们也会造成问题，破解我的服务器或其他什么...我在某处读到 myspace 已被 javascript 文件以某种方式黑客攻击...而且我还看到 WordPress 删除了任何脚本在托管版本上。 JS 如何在服务器上造成问题？

Answer 1

从外部用户上传将由您的服务器解析/解释的文件是非常危险的。我强烈建议您不要尝试此操作，如果必须这样做，您必须详细了解此操作在您的特定环境中的安全影响。

针对您的具体问题:客户端解释的 Javascript 如何导致您的网站出现安全问题？ (我的翻译)

虽然 Javascript 本身不会在您的服务器上执行并且不会直接损害事物(对您的环境做出一些假设)，但 Javascript 将使用以下范围/权限在用户的 Web 浏览器中执行:来自您服务器的其他脚本。通常，安全漏洞是由于欺骗 Web 服务器在其他人的 session 上提供上传的脚本而引起的，这使攻击者能够访问属于其他用户的沙盒环境/变量。

有多种方法可以防止这些漏洞，但它可能很棘手，并且取决于您特定环境中的许多因素。事实上，其他主要的、经验丰富的托管环境(即 Wordpress 和许多其他) 在自己的网站上阻止了这种行为，应该让您了解它有多么危险。