JavaScript'i Flex'ten yürütme: Bu javascript işlevi tehlikeli midir?

Question

JavaScript oluşturma ve çalıştırma özelliğine sahip esnek bir uygulama var. Bunu derken benim Flex uygulamasında oluşturmak ham JavaScript (sadece varolan JavaScript yöntemi) yürütmek için ihtiyaç anlamına

Şu anda aşağıdaki JavaScript yöntemi teşhir ederek yapıyorum:

function doScript(js){ eval(js);} 

sonra Flex böyle bir şey yapabilirsiniz

ExternalInterface.call("doScript","alert('foo')); 

sorum, ben

varsayıyorum bu herhangi bir güvenlik riski empoze etmez edilmektedir: (Not: Ben daha önemli bir şey daha sonra gerçek Flex uygulamasında bir uyarı kutusu yapıyorum) Flex ve JasvaScript'ten beri değil n istemci tarafı ...

Bunu yapmanın daha iyi bir yolu var mı?

Answer 1

Javascript fonksiyonuna gerek yok, ilk argüman ExternalInterface olabilir herhangi bir JavaScript kodu olabilir, bir işlev ismi olmak zorunda değil (belgeler öyle diyor, ama yanlış).

bu deneyin:

ExternalInterface.call("alert('hello')"); 

Answer 2

Bildiğim kadarıyla ve kesinlikle bir hacker değilim, tamamen iyisiniz. Gerçekten, eğer birisi istediyse, yine de sizin istemcinizi kullanarak kodunuzu kullanabilirler, ancak javascript kullanarak sunucu yan kodunuzu nasıl kullanabileceklerini göremiyorum (sunucu tarafı javascript'i kullanmadıkça)

Answer 3

Nerede olduğunu anlamıyorum Eval'ı arayarak yapamayacakları bir şey yapmasına izin verir. Burada tanıtılan bir güvenlik deliği varsa, onu göremiyorum.

Answer 4

Bu, doğası gereği tehlikeli değildir, ancak kullanıcı tarafından sağlanan verileri işleve aktardığınız anda, kod enjeksiyonundan yararlanmaya hazırdır. Bu endişe verici ve kaçınacak bir şey. Ben daha iyi bir yaklaşım sadece ve daha fazla bir şey gerekir işlevselliğini ortaya çıkarmak olacağını düşünüyorum.

Answer 5

komut eylemleri açıklamada "AllowScriptAccess" etiketi ile kontrol edilir olduğunu hatırlatmak isteriz. Web sayfası bu eylemleri istemiyorsa, komut dosyalarının çıkış yapmasına izin vermemelidir.

http://kb.adobe.com/selfservice/viewContent.do?externalId=tn_16494

Answer 6

ExternalInterface.call("eval", "alert('hello');");