javascript - 如果使用 JSONP 来绕过同源策略，它不能用于 XSS 攻击吗？

Question

我试图了解 JSONP 的工作原理，从我目前非常基本的理解来看，我觉得它被用来规避浏览器强制执行的同源策略。我猜这个政策背后的主要原因是为了防止像 XSS 攻击这样的东西(比如有人可以注入(inject)一个脚本，利用用户机器上的本地 cookie 来获取有值(value)的信息，比如当用户登录他们的银行账户时。 ...是这样吗？)现在，如果 JSONP 正在规避此策略，它就不能被利用来做这样的事情吗？抱歉，如果这个问题非常基础......我几天前才开始尝试使用 javascript，但我仍在努力解决这个问题 :)

谢谢!

Answer 1

The real question is, do you trust that other domain? Since the other domain is essentially being given FULL access to your page (via JavaScript) you should be absolutely sure that you trust them. If they wanted they could quite easily vandalize your page, redirect the user, or worse: steal your cookies (which leads to a whole bunch of potential problems).

发件人:http://james.padolsey.com/javascript/cross-domain-requests-with-jsonp-safe/

所以，基本上，是的，它可以用于 XSS 攻击。因此，信任主机域很重要。如果您不确定主机域的完整性，请避免使用 JSONP。