首页
学习
活动
专区
工具
TVP
发布
您找到你想要的搜索结果了吗?
是的
没有找到

对抗蠕虫 —— 如何按钮不被 JS 自动点击

那么有没有一种机制,「发表留言」必须通过用户的「真实点击」按钮才能完成,而无法通过脚本自动实现?这样就能减缓蠕虫传播速度了。...除非,用户在点击按钮时会产生一个「特殊数据」,后端校验它。 但是,XSS 也可以直接调用按钮元素的 click 方法,这样效果和用户点击仍然一样。后端仍无法识别是「脚本点的」还是「用户点的」。...这么看来,我们只能保护好这个「按钮元素」,它没法被 XSS 访问到。例如,把按钮放到一个 不同源的 iframe 里,这样就和 XSS 所在的环境隔离了! 不过,这样还不够。...这里为简单,省略了登录态;真实场合下,会话 Cookie 是 HttpOnly 的,无法被 JS 获取到,也就无法第三方服务器代替发表。...细节: 使用者加载 safebutton.js,引入 SafeButton 类 使用者实例化 SafeButton 对象 A,创建出一个不同源的 iframe 作为按钮界面 用户点击 iframe 按钮

9.1K60
领券