javascript-工人是否足够安全以获取不受信任的代码
内容导读
互联网集市收集整理的这篇技术教程文章主要介绍了javascript-工人是否足够安全以获取不受信任的代码，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1376字，纯文字阅读大概需要2分钟。
内容图文
我有一个用户提交的不受信任的代码,我需要在浏览器的沙盒环境中执行它.
我被告知,Web-Workers不能为此提供足够的安全性,应该更好地使用不兼容的iframe.这一页：
https://www.owasp.org/index.php/HTML5_Security_Cheat_Sheet#Web_Workers
还说工人不适合不受信任的代码.
但是,如果我从Blob创建一个worker,则其url甚至具有不同的协议(blob：//).在这种情况下,是否将单独的来源策略应用于工作者代码？
如果还有其他原因,为什么(默认情况下)为什么与沙盒iframe(访问IndexedDB或其他东西)相比,对工作人员的限制(默认情况下)要少,是否有可能以某种方式设置工作人员以使其受到足够的限制,或者我还是要使用沙盒iframe吗？
解决方法:
Is separate origin policy applied to the worker code in this case?
不,从the current editor’s draft of the File API specification开始：
The origin of a Blob URL must be the same as the effective script origin specified by the incumbent settings object at the time the method that created it — either URL.createObjectURL or URL.createFor — was called.
additional reasons, why a worker is (by default) less restricted comparing to the sandboxed iframe
沙盒iframe可以指定跨域通信以外的其他权限.例如,您可以防止沙盒内容打开弹出窗口.尽管网络工作者目前没有API可以做很多事情.
is there any chance to set-up a worker somehow so that it would be restricted enough
Web工作人员没有任何安全机制. Web平台中还有其他工具可以隔离不受信任的代码,例如您所指出的沙盒iframe.如果更好,您可以让一个沙盒iframe创建一个Web worker.
内容总结
以上是互联网集市为您收集整理的javascript-工人是否足够安全以获取不受信任的代码全部内容，希望文章能够帮你解决javascript-工人是否足够安全以获取不受信任的代码所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。
内容备注
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。
内容手机端
扫描二维码推送至手机访问。