jsonp安全性防范，分为以下几点：

1、防止callback参数意外截断js代码，特殊字符单引号双引号，换行符均存在风险

2、防止callback参数恶意添加标签（如script），造成XSS漏洞

3、防止跨域请求滥用，阻止非法站点恶意调用

针对第三点，我们可以通过来源refer白名单匹配，以及 cookieToken 机制来限制

举例说明  京东白名单

而前两点，传统的做法分为以下几种：

1、纯手工过滤特殊字符，引号尖括号等，一旦发现潜在恶意字符则服务端拒绝，返回错误。

此种方式较为严格，但是随之而来的问题是失败率会有所提升，尤其对于对外开发者。

而且JS中恶意字符的变形十分多，此方式需要枚举所有非法字符，可能存在疏漏。

我们不应该将潜在的恶意字符都一概屏蔽，因为确实有些需求需要传入并存储这些字符。

2、对于callback参数作严整的格式检查，或强制约定指定格式。基本可以彻底解决安全问题，

但同样是对调用端不是完全透明，使用者需要额外去知晓相关限制和约定，可能会造成不必要的沟通成本。

3、返回包体添加header头部，强制指定MIME类型，避免按HTML方式解析，防止XSS漏洞。

这似乎是个很完美的解决方案。

但是十分诡异的是，在某些版本的火狐浏览器下，直接访问MIME类型为JAVASCRIPT的请求时，浏览器仍然会按照HTML解析。

或许是该浏览器设计的缺陷，但它忽略了我们设置的header。无法保证所有浏览器严格按照MIME类型解析。

我们的关注点一直在于如何限制用户输入，但是请从另外一个层面去考虑该问题，或许就会豁然开朗。

我们先了解一下JS本身的特性。

JSONP的本质是构造全局回调函数，之后加载script标签触发回调函数。
通常我们使用函数可以这么写

function test(){}test();

而在全局的函数也就默认是window的成员。也可以显示书写为

window.test = function(){};window.test();

而JS中对象的成员是可以使用字符串索引的方式访问的，故进一步改造为

window['test']=function(){};window['test']();

现在有注意到么，如此一来我们已经把函数名已经完全限制在了字符串上下文，

理论上只要做好了防注入工作，callback参数是不可能跳出字符串上下文意外执行代码的。

以PHP为例，单字符串防止注入甚至可以直接使用json_encode该字符串实现。

window['alert("123");abc']();

上面的callback参数虽然有注入的风险，可以由于callback参数严格限制在字符串内部，仅会作为文本，不会意外执行

但仍然存在xss漏洞问题
看下面例子

window['<script>alert(123);</script>']();

我们虽然已经保证了<script>严格限制在引号内部，不会造成js注入，但是直接在浏览器中输入该jsonp请求仍会按照HTML解析，产生XSS

漏洞，即便设置了header也很难防范。

在进一步，我们只需要保证浏览器内不会明文出现<>标签，那么问题便可彻底解决。

基本思路是在服务端做一次urlencode。而在output输出decodeURIComponent(‘#####’)来规避显示尖括号。

Urlencode过的字符串，只可能包含字母数字%，也顺便解决了注入的问题

最终附上一段简短的代码。根本解决jsonp的安全问题

<?php header('Content-type: text/javascript'); //加上此句可以消除chrome的警告 

$callback = urlencode($_GET['callback']); 

echo "window[decodeURIComponent('{$callback}')]({ret:0,msg:’OK’});"

请求1：http://www.test.com/a.php?callback=alert(123);abc

响应1：window[decodeURIComponent('alert(123)%3Babc')]({ret:0,msg:'OK'});

请求2：http://www.test.com/a.php?callback=<script>alert(123);</script>

响应2：window[decodeURIComponent('%3Cscript%3Ealert(123)%3B%3C%2Fscript%3E')]({ret:0,msg:'OK'});

上述几个例子都可以证明jsonp安全漏洞已被彻底规避，即便存在尝试注入的恶意参数，仍能最大限度保证程序完全正常工作触发回调。

​

附上源码

<html>

<head>

    <title>GoJSONP</title>

</head>

<body>

<script type="text/javascript">

    function jsonhandle(data){

        console.table(data);

    }

</script>

<script type="text/javascript" src="http://code.jquery.com/jquery-3.3.1.js">

</script>

<script type="text/javascript">

    $(document).ready(function(){

        // var url = "http://www.project.com/project/l.php?callback=alert('123');jsonhandle";

        var url = "http://www.project.com/project/l.php?callback=jsonhandle";

        var obj = $('<script><\/script>');

        obj.attr("src",url);

        $("body").append(obj);

    });

</script>

</body>

</html>
<?php 

 header('Content-type: text/javascript'); //加上此句可以消除chrome的警告 

//xss

// $callback = $_GET['callback'];

// echo "$callback({ret:0,msg:'ok'});"

//safe

$callback = urlencode($_GET['callback']);

echo "window[decodeURIComponent('{$callback}')]({ret:0,msg:'OK'});"

?>

解决 jsonP 安全问题的更多相关文章

  1. java 22 - 13 多线程之解决线程安全问题的实现方式2

    上一章说了,解决线程安全问题的实现方式1是使用同步代码块 同时也知道了,同步代码块的锁对象是任意对象:(Object obj ;  Demo d;)这些都行 那么,现在来说解决线程安全问题的实现方式2 ...

  2. java 22 - 12 多线程之解决线程安全问题的实现方式1

    从上一章知道了多线程存在着线程安全问题,那么,如何解决线程安全问题呢? 导致出现问题的原因: A:是否是多线程环境 B:是否有共享数据 C:是否有多条语句操作共享数据 上一章的程序,上面那3条都具备, ...

  3. 如何解决 Java 安全问题？

    如何解决 Java 安全问题,目前的应对策略都十分笨拙,往往适得其反.幸运的是,有一种新的方法可以将安全机制嵌入 Java 执行平台--或者更具体地说,嵌入 Java 虚拟机中,进而规避一些「Big ...

  4. java线程安全问题以及使用synchronized解决线程安全问题的几种方式

    一.线程安全问题 1.产生原因 我们使用java多线程的时候,最让我们头疼的莫过于多线程引起的线程安全问题,那么线程安全问题到底是如何产生的呢?究其本质,是因为多条线程操作同一数据的过程中,破坏了数据 ...

  5. Lock锁方式解决线程安全问题

    在JDK5.0之后新增加了一种更强大的线程同步机制---通过显示定义同步锁来实现线程同步解决线程安全问题.同步锁使用Lock对象充当. java.util.concurrent.locks.lock接 ...

  6. java并发之如何解决线程安全问题

    并发(concurrency)一个并不陌生的词,简单来说,就是cpu在同一时刻执行多个任务. 而Java并发则由多线程实现的. 在jvm的世界里,线程就像不相干的平行空间,串行在虚拟机中.(当然这是比 ...

  7. Java之解决线程安全问题的方式三：Lock锁

    import java.util.concurrent.locks.ReentrantLock; /** * 解决线程安全问题的方式三:Lock锁 --- JDK5.0新增 * * 1. 面试题:sy ...

  8. 静态同步方法和解决线程安全问题_Lock锁

    静态的同步方法锁对象是谁?不能是thisthis是创建对象之后产生的,静态方法优先于对象静态方法的锁对象是本类的cLass属性-->class文件对象(反射) 卖票案例出现了线程安全问题 卖出了 ...

  9. 解决线程安全问题_同步方法和解决线程安全问题_Lock锁

    解决线程安全问题_同步方法 package com.yang.Test.ThreadStudy; import lombok.SneakyThrows; /** * 卖票案例出现了线程安全的问题 * ...

随机推荐

  1. HDU1506： Largest Rectangle in a Histogram(最大子矩阵，好题动态优化左右边界）

    题目:http://acm.hdu.edu.cn/showproblem.php?pid=1506 刚开始没考虑时间复杂度,直接敲了,直接tle了,之后没有思路,然后看题解,看见大神写的优化非常棒. ...

  2. django（python manage.py migrate）同步数据库出错后的解决办法

    执行python manage.py migrate同步数据库前一次执行 python manage.py makemigrations 时生成的文件及之后所有的文件删除即可,然后修改models.p ...

  3. mapreduce中获取输入文件的路径

    InputSplit inputSplit = context.getInputSplit(); String fileName = ((FileSplit) inputSplit).getPath( ...

  4. appium server日志分析

    文章出处http://blog.csdn.net/yan1234abcd/article/details/60765295 每次运行测试,可以从Appium Server控制台看到有特别多的日志输出, ...

  5. delphi WebBrowser获取iframe页面内容及操作

    uses MSHTML, ActiveX; function GetFrame(FrameNo:Integer):IWebbrowser2;var OleContainer:IOleContainer ...

  6. linux redhat下oracle11G安装

    首先由于使用的是虚拟机,所有要修改ip 在LINUX下修改IP分为二种情况, 1.调试时修改IP,仅在当前生效,重启后恢复为原有IP ifconfig eth0 192.168.63.27 netma ...

  7. C#中各种数据类型可以表示的数据的范围

    C#中各种数据类型可以表示的数据的范围 BOOL型为int型,一般认为占4个字节,取值TRUE/FALSE/ERROR. sbyte型为有符号8位整数,占1个字节,取值范围在-128 - 127之间. ...

  8. 【JavaScript】用JS绘制一个球

    参考: 1.http://www.w3school.com.cn/html5/html_5_canvas.asp 2.http://blog.csdn.net/qq_27626333/article/ ...

  9. 20145229吴姗珊《网络对抗》WEB基础实践

    20145229吴姗珊<网络对抗>WEB基础实践 基础与实践 基础问题 1.什么是表单 表单是可以收集用户的信息和反馈意见,是网站管理者与浏览者之间沟通的桥梁. 一部分是HTML源代码用于 ...

  10. 启动工程Ehcache报错

    缓存组建用的Ehcache,在启动的时候报了下面的错误,虽然不影响使用,看着还是有点碍眼:   DEBUG net.sf.ehcache.util.UpdateChecker - Update che ...