随时操作 JS 变量？毒蘑菇变量更新了，快来瞅瞅吧。🥰🥰

[wuzhanggui]

毒蘑菇-变量地址

主要是方便个人开发者，不用多写些不必要的接口了，而且可以随时修改变量值，还是挺方便的。最为一个小项目功能还是闭环了（添加修改删除都有了），完完整整简简单单的多好，我个人维护起来也方便。

我目前使用的场景，友情链接呀，网站备案地址呀，啥的啥的都可以。

这次更新了 UI ，以及操作体验，比之前要好一些了，以后再慢慢更新吧。

[Jony4Fun]

感觉 UI 还挺好看的，而且这个 idea 挺有趣了，支持支持！

[Rache1]

好家伙。。你这网站要是被攻陷了，这整个就是个 XSS 乐园啊

[billccn]

非常赞同 @Rache1 。

建议用 gpg 签名(或类似格式)然后客户端写死公钥验证。

[Belmode]

已经被打穿了？这么快！

[wuzhanggui]

@Rache1 支持用 json 的方式引入总不会 xss 攻击了吧，而且我对变量值做了处理，只能存可以 JSON 的数据，所以他要攻击到我的服务器里才行，而且支持用阿里云的 oss 存，他总不能攻击到阿里云上吧

[powinds]

好用，支持！

[wuzhanggui]

https://var.dumogu.top/var/info/EpHyQ2t6o
还是算错了一步哇，本来我是添加的时候做了处理的了，因为考虑到这是用户自己添加自己用的，如果用户有在自己网站上引用此变量的权力那这就是自己造成的
之后会处理这种，限制变量值只能是可 JSON 化的数据

[codingax]

打不开哇 有啥限制吗？

[wuzhanggui]

@codingax 没啥限制呀，你把翻墙的关了试试？

[wuzhanggui]

@Belmode 还得是你们呐，所以说还是得有人来试试才能找出更多的问题

[Rache1]

@wuzhanggui #5 这更多的取决于使用方了，举个例子，如果使用方拿到数据后直接 innerHTML ，还是存在 XSS 风险的。

虽说这是使用方的问题，但是对于怀有恶意的人来说，你这平台就是一个大肥肉，极具攻击价值。原本只需要挨个攻击才能 XSS 的，现在只需要攻击你这一个站，篡改你的数据，就可以影响的 N 个站了，对于使用方来说，原本只需要保证自己第一方是安全的就好了，现在还有确保第三方不掉链子。

其实 CDN 站也是同理，只是 CDN 引入的基本都不会变，且可以使用 integrity 验证，而你这个的设计之初就不能用 integrity 了。

[xuAN111]

有才。

[stormer]

小心被黑产拿去做 肉鸡上线地址更新

[Features]

OP 赶快检查一下 CDN 是不是按量付费的
等下无聊者给你打几千块费用出来就玩大了

[GenericT]

还备案了，乐死，你就看轮子啥时候来吧

[crazyTanuki]

供应链攻击?

[wuzhanggui]

@GenericT 啥轮子，我网站多，备个案很正常吧

[wuzhanggui]

@Rache1 感谢，学到了一个新东西，我已经想到了一个完美的问题了，我 js 固定，而且生成 hash 值，这个 js 里去读取.json 的数据，这样就做到了数据变化了但是.js 是不变的，完美解决这个 xss 的问题，数据被攻击了完全没啥影响，因为数据方面的问题用户完全可以在引用后自行判断。

[devliu1]

怎么说呢，这个需求很古怪

[KgM4gLtF0shViDH3]

感觉适合做后门，防止别人不给钱，通过请求这个变量判断要不要关闭服务。