¿Cuál es el impacto en la seguridad de eliminar las etiquetas de scripts en un sitio web durante la carga de la página? [cerrado]

2

Recientemente descubrí que en Chrome, si escribes tus scripts en las etiquetas <script> , y en la parte superior o inferior de la etiqueta del script, tienes algo para eliminar la etiqueta, el código (setInterval, setTimeout, es el solo unos probados) persistirán y seguirán funcionando, incluso después de que la etiqueta haya desaparecido. Todo el código en la etiqueta de script se ejecuta . Por ejemplo:

<div id="reload">Loading...</div>
<script id="removeme">
$("#removeme").remove();
setInterval(function(){$("#reload").load("random_number_gen.php");}, 1000);
</script>

En este ejemplo, el script se elimina tan pronto como el script comienza a analizar el código, y luego se establece un intervalo, para un generador de números aleatorios del lado del servidor, que constantemente devuelve un número diferente al div. Seguirá cambiando cada segundo hasta el infinito, pero la etiqueta del script desaparece.

Sobre el punto: ¿Hacer esto tiene ventajas o desventajas? ¿Hacer esto asegura tu código javascript de alguna manera? Obviamente, se puede deshabilitar JavaScript, y luego el usuario puede ver el código, pero puedo pensar en cómo evitarlo.

TL; DR: ¿La eliminación de una etiqueta de script causa algún problema? ¿Tiene alguna desventaja, o ventajas?

Razón para preguntar: estoy pensando en ello y pensé que lo haría porque estoy trabajando en un proyecto con alguien que es anal sobre seguridad y algo que hicieron fue en la parte superior de cada etiqueta de script, tener un jQuery Declaración para eliminar el script (por ID o de otra manera). Tampoco usan archivos .js

    
pregunta Not_Lazy 25.04.2017 - 10:40
fuente

1 respuesta

0

No puedo ver ningún beneficio al hacer eso.

No oculta tu código fuente. Todavía se envía al cliente y se puede leer fácilmente. Además, la seguridad de su aplicación no debe basarse en que el código fuente sea secreto.

No veo cómo podría tener algún impacto en XSS, que es la vulnerabilidad con la que parece estar más relacionado. XSS se trata de insertar nuevos scripts, no de usar los antiguos.

Pero quién sabe. Puede haber un caso de esquina por ahí donde esto te salvará. Solo porque no puedo imaginarlo, no significa que no exista. Pero a menos que tenga una idea clara de lo que está defendiendo con esto, no lo haría. Añade complejidad sin ofrecer ningún beneficio claro.

    
respondido por el Anders 25.04.2017 - 12:52
fuente

Lea otras preguntas en las etiquetas