如何防范恶意脚本通过篡改 `Iterator.prototype` 实施的全站流数据劫持-js教程-PHP中文网

直接防范 iterator.prototype 被篡改需阻断非法扩展、监控异常行为、隔离敏感迭代逻辑：早期冻结原型、校验高危方法、封装迭代链路、运行时检测行为异常，并强制使用安全抽象层。

如何防范恶意脚本通过篡改 `iterator.prototype` 实施的全站流数据劫持

直接防范 Iterator.prototype 被篡改导致的数据流劫持，核心在于**阻断非法扩展、监控异常行为、隔离敏感迭代逻辑**。Iterator.prototype 本身不常被直接操作，但一旦被污染（如注入恶意 next()、return() 或 throw() 方法），所有 for...of、Array.from、扩展运算符等依赖迭代协议的代码都可能被静默劫持——比如偷偷收集请求参数、替换响应数据、插入追踪 payload。

锁定原生迭代器原型不可扩展

在页面加载早期（DOMContentLoaded 前）执行一次性冻结，防止新增属性或修改现有方法：

调用 Object.freeze(Iterator.prototype) —— 注意：该对象在多数现代浏览器中是不可写、不可配置的，但部分插件仍可能绕过；需配合 Object.isFrozen 验证
若环境支持，进一步使用 Object.preventExtensions(Iterator.prototype) 封锁新增属性入口
对已知高危方法（如 next）做二次校验：
if (typeof Iterator.prototype.next !== 'function' || Iterator.prototype.next.length !== 0) { /* 异常，触发告警或降级 */ }

拦截并重写迭代器构造与消费链路

不依赖被污染的原型，而是主动封装关键迭代场景：

对 for...of 使用前，用 Symbol.iterator 检查目标是否返回标准迭代器：
const iter = obj[Symbol.iterator]?.(); if (!iter || typeof iter.next !== 'function') { throw new TypeError('Invalid iterator'); }
用 Proxy 包裹自定义迭代器工厂函数，例如封装 Array.prototype.values() 返回值，确保 next() 返回值结构合规（如必须含 value/done 字段）
禁用危险兜底：避免使用 Array.from(obj) 处理不可信对象，改用显式数组转换逻辑（如 obj instanceof Array ? obj : []）

运行时检测迭代器行为异常

对高频迭代操作做轻量级行为快照和比对：

在初始化阶段记录标准迭代器的 next.toString() 和 Object.getPrototypeOf(iter).constructor.name，作为基线
在关键数据流节点（如 API 响应解析、表单序列化）中，对每次迭代器调用后检查：
const result = iter.next(); if (typeof result !== 'object' || !('done' in result) || !('value' in result)) { /* 劫持迹象 */ }
结合 Iterator.prototype.some（如知识库中提到的秒级拦截模式），在数据流转环节插入策略校验，例如：
if ([...data].some(item => isHighRisk(item))) { blockAndLog(); }