javascript - CDN 托管脚本（如 jQuery）上的 XSS 预防

Question

[已编辑：] 如果访问我的网站的客户通过 Microsoft 的 CDN 网络提供 jQuery，则他/她的 DNS 被模仿 Microsoft 的 CDN 的攻击者欺骗。在这种情况下，理论上攻击者应该能够运行任意 javascript 代码。

有什么办法可以防止这种情况发生吗？还是我应该停止热链接 CDN 服务器？

Answer 1

标准的 XSS 预防机制适用，但在这种情况下，由于它是 CDN，您可能对服务器没有太多控制权，因此您能做的最好的事情就是仅使用 SSL 上的 CDN。

也就是说，如果受害者的 DNS 已经受到攻击，他们可能还会遇到许多其他问题，尤其是像 Banks 这样的高价值网站，或者像 Facebook 这样更多人可能使用的大型目标网站。