Это означает, что angular2 не предлагает рендеринг на стороне сервера

Question

Это означает, что angular2 не предлагает рендеринг на стороне сервера

0

Я получил, что угловой2 может отображать на стороне сервера (даже я не знаю, что польза), и я действительно вижу пример угловой серверной стороны.

Угловой 2 универсальный стартер

Но похоже, что угловой2 чиновник этого не предлагает.

Защита на стороне сервера XSS от angular2 doc

HTML, построенный на сервере, уязвим для инъекционных атак. Инъекционный код шаблона в Угловое приложение совпадает с введением исполняемого кода в приложение; это дает злоумышленнику полный контроль над приложением. Чтобы этого избежать, убедитесь, что вы используете язык шаблонов, который автоматически избегает значений, чтобы предотвратить уязвимости XSS на сервере. Не создавайте угловые шаблоны на стороне сервера с использованием языка шаблонов, это сопряжено с высоким риском внедрения уязвимостей для инъекций шаблонов.

Как понять это?

musicq 19 авг. 2016, в 10:54

Источник

Теги:

angular

javascript

angularjs

2 ответа

0

Не создавайте угловые шаблоны на стороне сервера с использованием языка шаблонов, это сопряжено с высоким риском внедрения уязвимостей для инъекций шаблонов.

Опираясь на Angular 2 для дезинфекции HTML, чтобы предотвратить XSS, недостаточно. Противник может вводить угловые выражения, такие как {{1==1}}, в шаблон на стороне сервера. {{1==1}} может быть безобидным примером, но ознакомьтесь с этим примером, где вы можете получить токен аутентификации пользователя. Вот почему генерация угловых шаблонов на сервере опасна. Вы должны убедиться, что противник не может вводить злобные угловые выражения.

twink1e 20 нояб. 2016, в 04:11

Ещё вопросы

Günter Zöchbauer · Accepted Answer · 2016-08-19T06-40-00.000Z

XSS может быть вызван предоставленными пользователем данными, добавленными в DOM.

Это не то, на чем работает серверный рендеринг. Отвертка на стороне сервера - это выполнение вашего приложения Angular2 на сервере, кэширование результата и отправка результирующей DOM клиенту, так что у клиента меньше работы по инициализации и он может сделать первоначальный рендеринг за более короткое время.

Это может привести к добавлению данных, предоставленных пользователем, в DOM, если ваш код приложения Angular2 делает это. Угловая2 дезинфицирует добавленный HTML, чтобы предотвратить XSS также при визуализации на сервере. Если вы предотвратите это, DomSanitizationService строку как безопасную с помощью DomSanitizationService вы снова DomSanitizationService уязвимость к атакам XSS.

о, я знаю это Я неправильно понял. Спасибо.