这是安全漏洞、XSS 还是 CSRF？
假设我的 javascript 发出了一个 ajax 请求，并且在回调函数中执行了 eval(response_text) 操作，而不检查 response_text 中的任何内容。
有些东西告诉我这不好，但是为什么以及如何利用它呢？难道总是我的服务器会向它发送好的数据吗？
Lets say my javascript makes an ajax-request and in the callback-function it does eval(response_text) without checking the response_text for anything.
Something tells me this is not good, but why and how could it be epxloited? Wont it be always my server which will send it good data?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
如果它来自不受信任的来源，则很容易受到 XSS 攻击。攻击者可以调用您网站上的函数。
考虑这样一种情况：攻击者将脚本标记附加到从其站点加载脚本的文档中。
That would be vulnerable to an XSS if it comes from an untrusted source. The attacker can call a function on your site.
Think of a situation where the attacker appends a script tag to the document that loads a script from his site.