javascript - 为什么内联 JavaScript 安全性不好？

Question

关闭。这个问题需要多问 focused 。目前不接受答案。

---

想要改进此问题吗？更新问题，使其仅关注一个问题 editing this post .

已关闭 5 年前。

Improve this question

我知道内联 JS 不利于性能，但为什么它不利于安全呢？你能向我解释一下为什么吗？有一些例子吗？

Answer 1

限制性content security policy通过禁止除具有特定哈希值的脚本之外的所有脚本，可以帮助减少脚本注入(inject)漏洞的影响。

• 如果您使用 on* 形式的内联 JavaScript属性或javascript: URL，你根本无法实现这种类型的策略，所以这肯定不太安全。

• 如果您使用 <script> 形式的内联 JavaScript没有 src ，创建用于 CSP 的哈希值或随机数不太方便，这可能会诱使人们根本不添加哈希值或随机数。随机数策略还允许使用动态脚本，这通常是个坏主意(动态脚本的唯一用途是在 <script> 中插入 JSON，因为它看起来与 JavaScript 兼容 - 会导致错误和脚本注入(inject)²)。

_{¹ 或位于仅用于静态内容的特定域。小心允许域(包括源!)提供可以充当脚本的用户内容!
² 未转义引起的 < 、U+2028 和 U+2029 – JSON 与内联 JavaScript 的 3 个不兼容性。我建议使用典型的 HTML 转义并读取 data-属性代替。}