2010-01-19 12 views
10

मैंने SO "jQuery Linking vs. Download" में प्रश्न यहां पढ़ा है और मैं इसे किसी भी तरह से प्राप्त नहीं करता हूं।"वही मूल नीति" और Google से लोड की गई स्क्रिप्ट - एक कमजोर समाधान?

क्या होता है यदि आप http://yourserver.com पर कोई पृष्ठ होस्ट करते हैं, लेकिन http://ajax.googleapis.com से jQuery लाइब्रेरी लोड करें और फिर jQuery स्क्रिप्ट में परिभाषित कार्यों का उपयोग करें?

क्या इस मामले में "समान मूल नीति" नहीं है? मेरा मतलब है, क्या आप AJAX कॉल को http://yourserver.com पर वापस कर सकते हैं?
क्या जावास्क्रिप्ट को yourserver.com से आने के रूप में माना जाता है?

मेरा बिंदु यहां है, आप नहीं जानते कि उपयोगकर्ता ने किसी तीसरे पक्ष के सर्वर (क्षमा करें, Google) से डाउनलोड किया है, और फिर भी उसके कंप्यूटर पर निष्पादित कोड उतना ही अच्छा है जितना वह आपके सर्वर से डाउनलोड करेगा?

संपादित करें: क्या इसका मतलब यह है कि अगर मैं किसी तीसरे पक्ष से वेब सांख्यिकी काउंटर का उपयोग करता हूं तो मुझे बहुत अच्छा पता नहीं है, तो वे कुछ कोड "इंजेक्ट" कर सकते हैं और मेरी वेब सेवाओं में कॉल कर सकते हैं जैसे कि उनका कोड हिस्सा था मेरी?

+0

(यदि आप सादे http पर चलाते हैं, तो यह पसंद नहीं है आप जानते हैं कि कोई भी कोड कहां से आ रहा है।) –

उत्तर

6

साइट http://yourserver.com/ के मालिक को अन्य सर्वरों (इस मामले में, Google के) से संदर्भित सामग्री पर भरोसा करना चाहिए। वही मूल नीति "स्क्रिप्ट" टैग पर लागू नहीं होती है।

बेशक, विदेशी सर्वरों (एक बार लोड होने) की लिपियों को पूरे डोम तक पहुंच है: इसलिए, यदि विदेशी सामग्री से समझौता किया गया है, तो सुरक्षा एक्सपोजर हो सकता है।

वेब दुनिया में कई चीजों के साथ, यह ट्रस्ट और निरंतर प्रबंधन पर आता है।

संपादित:

यह मतलब यह है _that अगर मैं एक 3 पार्टी से एक वेब आँकड़े काउंटर का उपयोग मैं बहुत अच्छी तरह से पता नहीं है , वे हो सकता है कुछ कोड "इंजेक्षन" और में फोन मेरी वेब सेवाएं जैसे कि उनका कोड मेरा हिस्सा था?

हां।

+0

उत्तर के लिए धन्यवाद। मैं इसे स्वीकार करने के रूप में चिह्नित कर रहा हूं, भले ही मुझे अभी भी मेरे पृष्ठ में तृतीय पक्ष स्क्रिप्ट के विचार पसंद नहीं हैं। लेकिन, जैसा कि आप कहते हैं, यह विश्वास करने के लिए नीचे आता है ... या कोई भरोसा नहीं ;-) – naivists

1

हां, नीति <script> टैग पर लागू नहीं होती है।

अगर कोई Google की स्क्रिप्ट स्टोर को हैक करने में सक्षम था, तो यह प्रत्येक डोमेन से सेवा प्राप्त हर पृष्ठ को प्रभावित करेगा, जो google.com को स्क्रिप्ट के लिए उनके होस्ट के रूप में उपयोग करता है।

+0

वही मूल नीति जावास्क्रिप्ट के लिए नियमों का एक सेट है। – rook

+0

मैं समझता हूं कि यह क्या है। मेरा मुद्दा यह है कि यह