快捷導(dǎo)航

Webkit的跨域安全問題說明

更新時間：2011年09月13日 22:17:02 作者：

在使用try catch處理iframe跨域產(chǎn)生的異常時，chrome和safari瀏覽器似乎不能正常運(yùn)作：他們直接拋出了錯誤而沒有拋出可供JS截獲的異常。

這里有個簡單的測試頁面：IE、火狐彈出"hello world"，而chrome,safari,opera毫無反應(yīng)。
以下是小段測試代碼（刻意修改domain，讓父頁面和子頁面為不同域頁面）：
1.父頁面代碼：

 
<script> 
document.domain = "nunumick.me"; 
function doTest(){ 
alert('hello world'); 
} 
</script> 
<iframe src="http://www.nunumick.me/lab/x-domain/webkit-test.html"> 
</iframe> 

2.子頁面代碼：

復(fù)制代碼代碼如下:

 
<script> 
try{ 
top.name; 
}catch(e){ 
document.domain = 'nunumick.me'; 
top.doTest(); 
} 
</script> 

以上代碼目的是嘗試在訪問異常時動態(tài)修改domain達(dá)到順利訪問，但webkit內(nèi)核瀏覽器粗暴地報(bào)錯而非拋出可截獲的異常，其他瀏覽器均如期運(yùn)行。

chrome錯誤信息：

據(jù)了解，采用此類try catch方式做安全可行性判斷的并不只是個別現(xiàn)象，如DOJO

復(fù)制代碼代碼如下:

 
try{ 
//see if we can access the iframe's location 
//without a permission denied error 
var iframeSearch = _getSegment(iframeLoc.href, "?"); 
//good, the iframe is same origin (no thrown exception) 
if(document.title != docTitle){ 
//sync title of main window with title of iframe. 
docTitle = this.iframe.document.title = document.title; 
} 
}catch(e){ 
//permission denied - server cannot be reached. 
ifrOffline = true; 
console.error("dojo.hash: Error adding history 
entry. Server unreachable."); 
} 

再如FCKeditor

復(fù)制代碼代碼如下:

 
try{ 
if ( (/fcksource=true/i).test( window.top.location.search ) ) 
sFile = 'fckeditor.original.html' ; 
} 
catch (e) { /* Ignore it. Much probably we are insi 
de a FRAME where the "top" is in another domain (security error). */ } 

還有很多網(wǎng)友的反饋：chrome bug report

以上代碼在chrome,safari,opera均不適用。翻了一些資料，記錄在此：
1.html5 security location
2.webkit dev lists
從webkit開發(fā)人員的討論消息中看到，他們承認(rèn)這個問題但并不情愿去改正，holly shit！

您可能感興趣的文章:

相關(guān)文章

通過js動態(tài)操作table(新增，刪除相關(guān)列信息)
通過js動態(tài)操作table(新增，刪除相關(guān)列信息)的實(shí)現(xiàn)代碼，需要的朋友可以參考下
2012-05-05
基于JS實(shí)現(xiàn)table導(dǎo)出Excel并保留樣式
這篇文章主要介紹了基于JS實(shí)現(xiàn)table導(dǎo)出Excel并保留樣式,文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下
2020-05-05
javascript jquery對form元素的常見操作詳解
下面小編就為大家?guī)硪黄猨avascript jquery對form元素的常見操作詳解。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起跟隨小編過來看看吧
2016-06-06
js匿名函數(shù)使用&傳參(實(shí)例)
下面小編就為大家?guī)硪黄猨s匿名函數(shù)使用&傳參(實(shí)例)。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起跟隨小編過來看看吧
2017-09-09
JavaScript異步操作的方法小結(jié)
在現(xiàn)代Web開發(fā)中,異步編程是不可或缺的一部分,JavaScript通過多種方式支持異步操作,允許開發(fā)者處理非阻塞代碼執(zhí)行,從而提高應(yīng)用性能和響應(yīng)速度,本文給大家介紹了JavaScript異步操作的常見方法,需要的朋友可以參考下
2025-01-01
Javascript中replace方法與正則表達(dá)式的結(jié)合使用教程
replace方法是javascript涉及到正則表達(dá)式中較為復(fù)雜的一個方法,嚴(yán)格上說應(yīng)該是string對象的方法,下面這篇文章主要給大家介紹了關(guān)于Javascript中replace方法與正則表達(dá)式的結(jié)合使用的相關(guān)資料,需要的朋友可以參考下
2022-09-09
JavaScript Cookie的讀取和寫入函數(shù)
Cookie的讀取和寫入實(shí)現(xiàn)函數(shù)。
2009-12-12
javascript dom操作之cloneNode文本節(jié)點(diǎn)克隆使用技巧
文本克隆函數(shù)cloneNode他有兩個參數(shù)——true or false
2009-12-12
解析img圖片沒找到onerror事件 Stack overflow at line: 0
本篇文章主要介紹了img圖片沒找到onerror事件 Stack overflow at line: 0 需要的朋友可以過來參考下，希望對大家有所幫助
2013-12-12
JavaScript 動態(tài)添加腳本，并觸發(fā)回調(diào)函數(shù)的實(shí)現(xiàn)代碼
JavaScript 動態(tài)添加腳本，并觸發(fā)回調(diào)函數(shù)的實(shí)現(xiàn)代碼，需要的朋友可以參考下。
2011-01-01