HTML5作為一種具有強(qiáng)大兼容能力的超文本標(biāo)記語(yǔ)言，其強(qiáng)大的功能已經(jīng)讓它成為web開發(fā)領(lǐng)域中的大熱。中培偉業(yè)《HTML5開發(fā)最佳實(shí)踐應(yīng)用》培訓(xùn)專家姚老師指出，HTML5對(duì)舊有的安全策略進(jìn)行了非常多的補(bǔ)充。HTML5為iframe元素增加了sandbox屬性防止不信任的Web頁(yè)面執(zhí)行某些操作，例如訪問父窗口的DOM、執(zhí)行腳本、訪問本地存儲(chǔ)或者本地?cái)?shù)據(jù)庫(kù)等等。姚老師隨后對(duì)HTML5帶來(lái)的相關(guān)補(bǔ)充進(jìn)行了詳細(xì)介紹。

一、iframe沙箱

HTML5為iframe元素增加了sandbox屬性防止不信任的Web頁(yè)面執(zhí)行某些操作，例如訪問父頁(yè)面的DOM、執(zhí)行腳本、訪問本地存儲(chǔ)或者本地?cái)?shù)據(jù)庫(kù)等等。但是這個(gè)安全策略又會(huì)帶來(lái)另外的風(fēng)險(xiǎn)，這很有趣，例如ClickJacking攻擊里阻止JavaScript腳本的運(yùn)行來(lái)繞過(guò)JavaScript的防御方式。

二、CSP內(nèi)容安全策略

XSS通過(guò)虛假內(nèi)容和誘騙點(diǎn)擊來(lái)繞過(guò)同源策略。 XSS攻擊的核心是利用了瀏覽器無(wú)法區(qū)分腳本是被第三方注入的，還是真的是你應(yīng)用程序的一部分。CSP定義了Content-Security-Policy HTTP頭來(lái)允許你創(chuàng)建一個(gè)可信來(lái)源的白名單，使得瀏覽器只執(zhí)行和渲染來(lái)自這些來(lái)源的資源，而不是盲目信任服務(wù)器提供的所有內(nèi)容。即使攻擊者可以找到漏洞來(lái)注入腳本，但是因?yàn)閬?lái)源不包含在白名單里，因此將不會(huì)被執(zhí)行。

三、XSS過(guò)濾器

Chrome、Safari這樣的現(xiàn)代瀏覽器也構(gòu)建了安全防御措施，在前端提供了XSS過(guò)濾器。例如http://test.jiangyujie.com/?text=</div><script>alert(1)</script>在Chrome中將無(wú)法得到執(zhí)行。

四、其他

另外HTML5的應(yīng)用程序訪問系統(tǒng)資源比Flash更受限制。

最后，關(guān)于HTML5專門的安全規(guī)范目前還在討論中，有的人希望分散到HTML5規(guī)范的各個(gè)章節(jié)，有的人希望單獨(dú)列出，目前沒有單獨(dú)的內(nèi)容，因?yàn)椴粌H要考慮Web App開發(fā)者的安全，還要考慮實(shí)現(xiàn)HTML5支持的廠商，對(duì)它們進(jìn)行規(guī)范和指導(dǎo)。

針對(duì)HTML5在互聯(lián)網(wǎng)行業(yè)當(dāng)中廣泛應(yīng)用，中培偉業(yè)推出了《HTML5開發(fā)最佳實(shí)踐應(yīng)用》培訓(xùn)課程，該課程自推出以后，深受行業(yè)相關(guān)從業(yè)人員的歡迎，參加本課程培訓(xùn)的學(xué)員學(xué)習(xí)結(jié)束后，對(duì)本課程帶來(lái)的收益給予了高度評(píng)價(jià)。下一期的《HTML5開發(fā)最佳實(shí)踐應(yīng)用》公開課培訓(xùn)將于10月23日—269日在成都舉行，目前學(xué)員正火熱招募中，希望廣大行業(yè)精英屆時(shí)能積極報(bào)名參加。