java - 在服务器上验证 JavaScript 代码

Question

我的网站中有一个文本区域，用户可以在其中添加 Java 脚本代码。我需要检查此代码是否包含任何恶意代码。有哪些选项

1. 客户端
2. 服务器端

或者我在哪里可以找到用于检查恶意代码的好 Material 。

Answer 1

网络邮件网站(例如 gmail)在呈现 HTML 消息时会剥离所有 Javascript，这是因为验证任何代码是否是恶意的(尤其是在上下文来自您的域，从而引发大量 XSS 问题)。

如果您确实需要 Javascript 支持，您可以将少数受支持的函数列入白名单，同时剥离其他所有内容，但即使这条路线也充满危险。

如果安全性很重要，您应该认真考虑 Javascript 是否真的有必要。解决方法可能是提供您自己的解释语言或一组函数，在创建 HTML 时将其转换为 Javascript(对我来说，这是唯一安全的选择)。