快捷導(dǎo)航

Webkit的跨域安全問(wèn)題說(shuō)明

更新時(shí)間：2011年09月13日 22:17:02 作者：

在使用try catch處理iframe跨域產(chǎn)生的異常時(shí)，chrome和safari瀏覽器似乎不能正常運(yùn)作：他們直接拋出了錯(cuò)誤而沒(méi)有拋出可供JS截獲的異常。

這里有個(gè)簡(jiǎn)單的測(cè)試頁(yè)面：IE、火狐彈出"hello world"，而chrome,safari,opera毫無(wú)反應(yīng)。
以下是小段測(cè)試代碼（刻意修改domain，讓父頁(yè)面和子頁(yè)面為不同域頁(yè)面）：
1.父頁(yè)面代碼：

復(fù)制代碼代碼如下:

 
<script> 
document.domain = "nunumick.me"; 
function doTest(){ 
alert('hello world'); 
} 
</script> 
<iframe src="http://www.nunumick.me/lab/x-domain/webkit-test.html"> 
</iframe> 

2.子頁(yè)面代碼：

復(fù)制代碼代碼如下:

 
<script> 
try{ 
top.name; 
}catch(e){ 
document.domain = 'nunumick.me'; 
top.doTest(); 
} 
</script> 

以上代碼目的是嘗試在訪問(wèn)異常時(shí)動(dòng)態(tài)修改domain達(dá)到順利訪問(wèn)，但webkit內(nèi)核瀏覽器粗暴地報(bào)錯(cuò)而非拋出可截獲的異常，其他瀏覽器均如期運(yùn)行。

chrome錯(cuò)誤信息：

據(jù)了解，采用此類try catch方式做安全可行性判斷的并不只是個(gè)別現(xiàn)象，如DOJO

復(fù)制代碼代碼如下:

 
try{ 
//see if we can access the iframe's location 
//without a permission denied error 
var iframeSearch = _getSegment(iframeLoc.href, "?"); 
//good, the iframe is same origin (no thrown exception) 
if(document.title != docTitle){ 
//sync title of main window with title of iframe. 
docTitle = this.iframe.document.title = document.title; 
} 
}catch(e){ 
//permission denied - server cannot be reached. 
ifrOffline = true; 
console.error("dojo.hash: Error adding history 
entry. Server unreachable."); 
} 

再如FCKeditor

復(fù)制代碼代碼如下:

 
try{ 
if ( (/fcksource=true/i).test( window.top.location.search ) ) 
sFile = 'fckeditor.original.html' ; 
} 
catch (e) { /* Ignore it. Much probably we are insi 
de a FRAME where the "top" is in another domain (security error). */ } 

還有很多網(wǎng)友的反饋：chrome bug report

以上代碼在chrome,safari,opera均不適用。翻了一些資料，記錄在此：
1.html5 security location
2.webkit dev lists
從webkit開(kāi)發(fā)人員的討論消息中看到，他們承認(rèn)這個(gè)問(wèn)題但并不情愿去改正，holly shit！

您可能感興趣的文章:

相關(guān)文章

通過(guò)js動(dòng)態(tài)操作table(新增，刪除相關(guān)列信息)
通過(guò)js動(dòng)態(tài)操作table(新增，刪除相關(guān)列信息)的實(shí)現(xiàn)代碼，需要的朋友可以參考下
2012-05-05
基于JS實(shí)現(xiàn)table導(dǎo)出Excel并保留樣式
這篇文章主要介紹了基于JS實(shí)現(xiàn)table導(dǎo)出Excel并保留樣式,文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下
2020-05-05
javascript jquery對(duì)form元素的常見(jiàn)操作詳解
下面小編就為大家?guī)?lái)一篇javascript jquery對(duì)form元素的常見(jiàn)操作詳解。小編覺(jué)得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧
2016-06-06
js匿名函數(shù)使用&傳參(實(shí)例)
下面小編就為大家?guī)?lái)一篇js匿名函數(shù)使用&傳參(實(shí)例)。小編覺(jué)得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧
2017-09-09
JavaScript異步操作的方法小結(jié)
在現(xiàn)代Web開(kāi)發(fā)中,異步編程是不可或缺的一部分,JavaScript通過(guò)多種方式支持異步操作,允許開(kāi)發(fā)者處理非阻塞代碼執(zhí)行,從而提高應(yīng)用性能和響應(yīng)速度,本文給大家介紹了JavaScript異步操作的常見(jiàn)方法,需要的朋友可以參考下
2025-01-01
Javascript中replace方法與正則表達(dá)式的結(jié)合使用教程
replace方法是javascript涉及到正則表達(dá)式中較為復(fù)雜的一個(gè)方法,嚴(yán)格上說(shuō)應(yīng)該是string對(duì)象的方法,下面這篇文章主要給大家介紹了關(guān)于Javascript中replace方法與正則表達(dá)式的結(jié)合使用的相關(guān)資料,需要的朋友可以參考下
2022-09-09
JavaScript Cookie的讀取和寫(xiě)入函數(shù)
Cookie的讀取和寫(xiě)入實(shí)現(xiàn)函數(shù)。
2009-12-12
javascript dom操作之cloneNode文本節(jié)點(diǎn)克隆使用技巧
文本克隆函數(shù)cloneNode他有兩個(gè)參數(shù)——true or false
2009-12-12
解析img圖片沒(méi)找到onerror事件 Stack overflow at line: 0
本篇文章主要介紹了img圖片沒(méi)找到onerror事件 Stack overflow at line: 0 需要的朋友可以過(guò)來(lái)參考下，希望對(duì)大家有所幫助
2013-12-12
JavaScript 動(dòng)態(tài)添加腳本，并觸發(fā)回調(diào)函數(shù)的實(shí)現(xiàn)代碼
JavaScript 動(dòng)態(tài)添加腳本，并觸發(fā)回調(diào)函數(shù)的實(shí)現(xiàn)代碼，需要的朋友可以參考下。
2011-01-01