AJAX安全

简介

本文档将为AJAX安全提供一个起点，希望后面可以根据特性的框架和技术进行合理地更新和扩展

.innerText通过编码向其传入的字符串，可以预防大部分的XSS问题。

eval() 方法不可取，永远不要使用它。使用了它就代表着你的设计有问题。

当使用数据构建HTML、脚本、CSS、XML和JSON等数据时，确保考虑到如何以字面意义呈现这些数据, 以保持其逻辑含义。

数据在使用之前应该确保合理地编码以方式注入等问题。

不要忘记用户控制着客户端的逻辑。他们可以通过一些浏览器插件来设置断点，跳过代码，修改值等。永远不要依赖客户端逻辑。

确保服务端实现了和客户端一样的业务逻辑或者规则，以免客户端逻辑被绕过并做出一些愚蠢、糟糕和昂贵的事情。

这很难，即使是一个小错误也会导致大的安全问题。已经有很多框架提供了这个功能。

就像构建HTML或者SQL会硬气XML注入漏洞一样，避免这种情况或者使用一个编码库或者安全的JSON或XML库来确保属性和元素数据安全。

任何客户端知道的，用户也知道，因此，将机密的信息放在服务端比较好。

使用TLS/SSL并且在服务端加密

参考Angular JS的JSON劫持防御机制，参见JSON Vulnerability Protection

总是让外部原语成为JSON字符串的对象：

可以利用的

1	[{"object": "inside an array"}]

不可以利用的

1	{"object": "not inside an array"}

同样不可利用的

1	{"result": [{"object": "inside an array"}]}

使用一个经过检验的库

用户和AJAX客户端代码一样，可以调用服务端服务。确保服务端校验了输入数据。

使用安全的框架，不要手工拼接，这可能引起安全问题。