грубо

В строку, и поехал.

плюс накосячить могу

плюс не знаю подводных методов которыми это можно обойти

Я не знаю другого решения.

https://www.owasp.org/index.php/Category:Attack Векторов атак - очень много. Начиная с банальной SQL-injection, интересного ReDOS, и совсем уж необычного для меня - HTTP Response Splitting

чуть ниже описал, суть в валидации входящего жс кода от постов и гетов

не совсем, но думаю суть та же

от любых запросов

суть не в том надо ли или нет

я прекрасно знаю что не надо, но клиенту не докажешь

ajax запретить весь к хуям)

ты хочешь чтобы клиент отправлял на сервер код и код на сервере выполнялся? так?

второе

или на клиенте?

ты хочешь чтобы клиент отправлял на сервер код и код на сервере выполнялся? так?

код выполнялся на клиенте после того как типок закинет его на сервак

вот

надо валидировать жс на бэке и если все ок сохранять в папочку

и подключать это говно на клиенте пот ом

на том же

да и команде своей

группе скажем так

изначально плохая идея 😂

можно сделать ход конем - создать Webworker на клиенте- там выполнялся чтобы код http://stackoverflow.com/questions/10343913/how-to-create-a-web-worker-from-a-string а в томже webworker создать proxy document, window и прочие обьекты и их валидировать и синхронизировать

так, хорошо

что мне это даст?

изначально плохая идея 😂

да

webworker - полностью изолированное окружение

хорошо, понял

тут вторая проблема

фронт у аппы на ангуларе

:\

https://github.com/aiboy/jsdom4browser ( тут есть пример как подточить jsdom - чтобы он работал в WebWorker - на примере D3.js но будет работать и с angular.js )

webworker - полностью изолированное окружение

на самом деле нет. У него есть доступ много к чему снаружи, но это можно всё подпилить напильником. Там другая проблема в том, что нельзя сделать вайтлист доступных технологий, т.е. если завтра появится какая-нибудь особенность, которую смогут использовать хакеры через вебвокер, то нашему автору придётся снова брать напильник.

опять же, если на клиенте нет прокси, то и подпилить нормально не получится

ну и более надежный вариант ( относительно ) - с помощью http://esprima.org - парсить JS код и получать из него AST - http://esprima.org/demo/parse.html после чего забанить все AST Node всех типов во всех комбинациях, после этого взять реальный код который должен работать и начинать whitelist-ить AST Node и их комбинации

да вообще говно как по мне

предустановленные либы еще куда не шло

придумали хуйню

Ну или вот еще 1 решение - уже от Google https://developers.google.com/caja/ https://github.com/google/caja/blob/master/doc/html/es5-talk/es5-talk.pdf https://github.com/google/caja

ajax запретить весь к хуям)

Нужно не только ajax запрещать, можно и старыми методами отправить данные на сервер, это просто создать картинку с url сервера и в url параметрах поставить все что хочешь

А в айфрейм затолкать это говно нормально?

С таким подходом баги потом из всех щелей вылезать будут.

Да с любым.

Может тогда уж сразу DSL свой сделать?

Не сомневайся

Это самацель

+1 за песочницу!

Согласен с @lamo2k123 ну и бежать тож выход

Приходит такой тимлид и говорит: «А давайте будем жс на говно валидировать»

run Вася run

Это не я вопрос задал если что, это так, мысли на тему.

Сегодня ты санитизируешь жс, а завтра пишешь свой браузер на canvas.

Я чёт тоже себя на такой мысли поймал. В хорошее время живём.

Дико.

Там же проблема вроде в том, что надо Аякс весь анально огородить.

Может секьюрити политики заюзать?

Типа отдельный айфрейм со своими политиками.

А в айфрейм затолкать это говно нормально?

Я правильно понял, что проблема только в аяксах?

@kimslava93 проблема только в аяксах?

Вопрос настолько флеймовый, что все уже и забыли кто его задал 😁

Вопрос настолько флеймовый, что все уже и забыли кто его задал 😁

нет, мы с ним эту хуйню пилим

Можно даже без отдельного айфркйма. Просто только к своему домену доступ дать.

Можно даже без отдельного айфркйма. Просто только к своему домену доступ дать.

можно по подробнее?

http://www.html5rocks.com/en/tutorials/security/content-security-policy/

ну я думаю не только аяксы сворачивать нпдо

Там, на самом деле, вторую версию уже подвезли, но вам и первой хватит.

В свг много дыр. Особенно в фаерфоксе.

@kimslava93 проблема только в аяксах?

надо короче разрешать js только для построения графов с данными, всякие анимашки (ну если ооочень надо) но запрещать такую херь как рекламу пихать илил левые запросы делать.

в обещм js чисто для работы с данными.

в обещм js чисто для работы с данными.

Может тогда правда DLS сделать?

DSL

Ребят настроить вебпак чтобы сделать хотрелоад сервера?

то есть сейчас он настроен на хотрелоад клиентской части

но я хочу чтобы и когда я меняю файлы серва, он тоже релоадился автоматом

Ребят настроить вебпак чтобы сделать хотрелоад сервера?

https://www.npmjs.com/package/daemon-command-webpack-plugin

В серверный конфиг вебпака добавить плагин

Они все так долго собираются.

А, 5 минут это норма, хорошо.

У меня метеор стартовал за минуту, вроде.