检测 JavaScript 文件欺骗

Question

假设我正在开发一堆 JS 小部件，这些小部件旨在嵌入到任何网页上（类似于 iGoogle、Pageflakes 小部件）。

客户端可以通过包含脚本标签来嵌入小部件：

<div id="widgetHost">
    <script src="http://fantasticwidgets.net/awesomeWidget.js"></script>
    <script src="http://fantasticwidgets.net/awesomeWidgetAgain.js"></script>
</div>

现在这些小部件依赖于公共库（让我们使用 jQuery、underscore 和我自己的一些库 - 例如 myCommon.js）。

理想情况下，应该发生这样的情况：

• 首先下载 Widget 的 bootstraper js
• Widget 的 bootstraper js 检查这些库文件及其所需版本是否存在（例如 jQuery v1.6.2 是否加载到页面上，myCommon v1.1 等）
• 如果其中任何一个都已加载，不请求这些文件，而仅下载缺少的脚本。
• 然后，这些脚本调用一些 Web 服务，执行一些操作并在页面上呈现 HTML。

关注：检查已加载的文件会引入脚本欺骗漏洞。恶意用户会欺骗加载后的库，并用它来窃取敏感信息或做其他坏事。

解决方案：不要检查加载的库，总是再次发送所有库。这仍然不是万无一失的，但至少让事情变得更加困难，因为他必须再次进行恶搞。 然而，这会导致带宽浪费和加载时间增加。

问题：是否可以检测加载的文件是否被篡改，最好是在客户端？或者它是否必须包含服务器端解决方案？如果重要的话，我在服务器端运行 ASP.Net。

Answer 1

这里唯一真正的解决方案是“使用 HTTPS 传送脚本”。如果坏人甚至可以使用来自另一个域的 HTTPS 内容来毒害用户的浏览器缓存，那么您的游戏就已经结束了，因为他还有权更改您提供给用户的页面。