JavaScript のセキュリティと防御について学ぶ

JavaScript は、Web 開発で広く使用されているスクリプト言語で、Web ページをよりインタラクティブで動的にすることができます。ただし、JavaScript には強力な機能と柔軟性があるため、セキュリティ上のリスクもいくつかあります。この記事では、JavaScript のセキュリティ問題とそれに対応する防御策をいくつか紹介し、具体的なコード例をいくつか示します。

1. クロスサイト スクリプティング攻撃 (XSS)
   クロスサイト スクリプティング攻撃とは、悪意のあるユーザーが Web ページに悪意のあるスクリプトを挿入して、ユーザーの機密情報を取得したり、Web ページを改ざんしたりすることを指します。コンテンツ。 XSS 攻撃を防ぐには、次の方法を使用できます。

2. 入力検証: ユーザーが入力したデータを検証し、特殊文字と HTML タグをフィルターで除外します。

   function sanitizeInput(input) {
     return input.replace(/[<>]/g, "");
   }

3. 出力エンコーディング: ユーザーが入力したデータを Web ページに挿入するときに、適切なエンコーディングを使用します。

   function insertText() {
     var userInput = document.getElementById("input").value;
     var sanitizedInput = sanitizeInput(userInput);
     document.getElementById("output").innerText = sanitizedInput;
   }

4. HTTP ヘッダーの Content-Security-Policy を設定する: このヘッダー情報により、JavaScript の実行を制限し、悪意のあるスクリプトの挿入を防ぐことができます。

   Content-Security-Policy: script-src 'self'

5. クロスサイト リクエスト フォージェリ (CSRF)
   クロスサイト リクエスト フォージェリとは、攻撃者がユーザーのログイン ID を使用して、ユーザーを悪意のある Web サイトにアクセスさせたり、悪意のあるリンクにより、ユーザーがそれを認識できないようにする Web サイトへのリクエストを開始します。 CSRF を防ぐためのいくつかの対策は次のとおりです。

6. リファラーを検証する: サーバー側で要求されたリファラーを検証し、それが正当なソースであるかどうかを判断します。

   if (referer != 'https://example.com') {
     discardRequest();
   }

7. CSRF トークンを使用する: ランダムに生成されたトークンをセッションに保存し、リクエストが行われるたびにそれをパラメーターまたはヘッダーとしてリクエストに追加します。

   var token = generateToken();
   var request = new XMLHttpRequest();
   request.open('POST', '/api/update', true);
   request.setRequestHeader('X-CSRF-Token', token);

8. SameSite 属性を設定する: Cookie の SameSite 属性を Strict または Lax に設定して、同じサイト内でのみ送信されるように制限します。

   Set-Cookie: sessionID=123; SameSite=Strict;

9. 安全でないライブラリと依存関係
   サードパーティのライブラリと依存関係は JavaScript 開発でよく使用されますが、すべてのライブラリが安全で信頼できるわけではありません。安全でないライブラリを使用すると、セキュリティの脆弱性や危険が生じる可能性があります。コードのセキュリティを向上させるには、次のことを実行できます。

10. ライブラリと依存関係を定期的に更新する: サードパーティのライブラリと依存関係のバージョンを適時に更新して、最新のセキュリティを取得します。パッチ。

    npm update

11. ライブラリのセキュリティを評価する: サードパーティ ライブラリの使用を選択する場合は、既知のセキュリティ脆弱性があるかどうかを確認し、メンテナの評判とアクティビティを理解する必要があります。

うわー

以上がJavaScript のセキュリティと防御について学ぶの詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。