Курс по программированию на JavaScript

Урок 42: Безопасность в JavaScript

Безопасность — это один из важнейших аспектов разработки веб-приложений. JavaScript, будучи одним из основных языков программирования для веба, играет ключевую роль в обеспечении безопасности. В этом уроке мы рассмотрим основные угрозы безопасности и методы защиты от них.

Основные угрозы безопасности

Существует несколько распространенных угроз безопасности для веб-приложений на JavaScript:

• Cross-Site Scripting (XSS): Уязвимость, при которой злоумышленник может вставить вредоносный скрипт в веб-страницу, который будет выполнен в браузере других пользователей.
• Cross-Site Request Forgery (CSRF): Атака, при которой злоумышленник заставляет пользователя выполнить нежелательное действие на веб-сайте, на котором он авторизован.
• Insecure Deserialization: Уязвимость, при которой данные, передаваемые между клиентом и сервером, могут быть изменены злоумышленником.
• Инъекции: Внедрение вредоносного кода в запросы к базе данных или другие компоненты приложения.

Пример уязвимости XSS

Рассмотрим простой пример уязвимости XSS:

// Уязвимый код
const userInput = '';
document.body.innerHTML = userInput;

// Вредоносный скрипт выполнится и покажет alert

Методы защиты

Существует множество методов защиты от этих и других угроз безопасности:

• Экранирование данных: Используйте функции для экранирования данных, вставляемых в HTML, чтобы предотвратить выполнение вредоносного кода.
• Валидация и фильтрация данных: Всегда проверяйте и фильтруйте входные данные от пользователя, чтобы убедиться, что они соответствуют ожидаемому формату.
• Использование Content Security Policy (CSP): CSP позволяет контролировать, какие ресурсы могут быть загружены и выполнены на веб-странице, предотвращая выполнение вредоносного кода.
• Защита от CSRF: Используйте токены для защиты от CSRF-атак. Эти токены должны передаваться вместе с запросами и проверяться на сервере.
• Безопасное хранение данных: Всегда шифруйте конфиденциальные данные и используйте безопасные методы для их передачи и хранения.

Пример защиты от XSS

Рассмотрим пример защиты от XSS с использованием функции экранирования:

// Функция для экранирования данных
function escapeHTML(str) {
 return str.replace(/&/g, '&')
 .replace(//g, '>')
 .replace(/"/g, '"')
 .replace(/'/g, ''');
}

const userInput = '';
document.body.innerHTML = escapeHTML(userInput);

// Вредоносный скрипт будет экранирован и не выполнится

Пример защиты от CSRF

Рассмотрим пример защиты от CSRF с использованием токенов:

// Генерация CSRF-токена
function generateCSRFToken() {
 return Math.random().toString(36).substring(2);
}

// Добавление CSRF-токена в форму
const form = document.querySelector('form');
const csrfToken = generateCSRFToken();
form.innerHTML += ``;

// Проверка CSRF-токена на сервере (пример на Node.js)
app.post('/submit', (req, res) => {
 const token = req.body.csrf_token;
 if (token !== storedToken) {
 return res.status(403).send('CSRF token invalid');
 }
 // Обработка запроса
});

// Защита от CSRF с использованием токенов

Упражнения

// Функция для удаления тегов
function sanitizeInput(str) {
 return str.replace(/<[^>]*>?/gm, '');
}

const userInput = 'Bold Text ';
document.body.innerHTML = sanitizeInput(userInput);

// Bold Text

// Пример настройки CSP на сервере (Node.js)
app.use((req, res, next) => {
 res.setHeader("Content-Security-Policy", "default-src 'self'; script-src 'self'");
 next();
});

// CSP настроен для предотвращения выполнения неавторизованных скриптов