クエリパラメータに依存してイベントをJavaScriptのセキュリティリスクに誘導しています

Question

URLのパラメータに基づいていくつかのイベントをトリガしたい場合、セキュリティリスクが発生します。 例 URL = examples.com?#job 次に、 Spl = Url.split（ '？'） $（ 'a' + spl [1]）.trigger（ 'click'）。

例が働いている私は、これがある限り、ユーザがログインせずに見ることができるなど、セキュリティ上のリスク

Answer 1

を提起していないかどうかを知りたい、それは結構です、あなたが本当にユーザーがJavascriptを微調整するために停止することはできません。何かはJavaScriptを介して行うことができる場合

、関係なく、あなたが停止することはできませんどのようなユーザーは、それが安全なページである場合は、:)

それを行わないフィルタやクッキーを使用して、サーバー側の認証を確認してください。

Answer 2

ページの内容によって異なります。例えば、私が悪意のある広告主であった場合、examples.com?#myEvilAdへのリンクでスパムの負荷を送り、ユーザーに自動的にクリックさせることができます。

これは私が妄想しているように聞こえるかもしれません。あなたはおそらく正しいでしょう：しかし、一般に、それはウェブセキュリティに関しては正しい姿勢です。今、あなたは唯一確認することができます

var spl = url.split("?"); 

if (spl.length > 1) { 
    switch (spl[1]) { 
     case "#job": 
      $("a #job").trigger("click"); 
      break; 

     case "#job2": 
      $("a #job2").trigger("click"); 
      break; 
    } 
} 

：このような何かを、むしろストレートイベントにURLサフィックスを供給よりも -

私はこれを処理するためのより良い方法は、一種のホワイトリストを持っているだろうと思いますあなたが明示的に許可したものは処理されます。