国内互联网公司，为何不注重前端安全

[peneazy]

作为一名前端，感觉很多公司的前端安全非常脆弱。就这两年面试的公司来说，很多创业公司不注重前端安全。虽然 IE8 以上浏览器以及 Vue.js 这一类框架对 XSS 攻击做了一定的防范，但仍免不了无意或故意写出有漏洞的代码,随随便便把 cookie 给搞走。当然，很多公司的前端只用 jQuery 就不提了，很多前端流行：老夫拿起 jQuery 就是干。真想反问， jQuery 尤其是 jQuery 的早期版本没有做非常好的 XSS 防范，你真能时时刻刻考虑自己写的代码是否有 XSS 漏洞？

不太了解后端，感觉大部分公司后端安全做的还可以， SQL 注入什么的感觉大家都挺注意的。只是有些疑问，为何前端安全那么脆弱。

[peneazy]

@Moonless 哦，就是这个，忘记 Vue 文档已经说明了

[peneazy]

@Biwood 不清楚，可惜乌云上不了了，之前有那么多的学习资源。。

[zhengxiaowai]

因为对挣钱没有一点用处，国内什么鸟风气，还不知道吗？金钱至上，当安全威胁到挣钱时候才会去搞得，比如大一点公司

[ma63d]

@peneazy 搞笑了，不觉得安全和用什么框架，类库有关系 +1
同时， Vue 文档苦口婆心的说了一万次谨慎使用 HTML 插值和 v-html 。竟然也拿出来成为 Vue 的黑点。
现在这些人为了搞个大新闻真是什么损招都使得出啊。

[ma63d]

楼主千万别用原生 JS 了， document.innerHTML 危险更大更恐怖啊。。逃

[changwei]

这种还算小的，我现在看我同学写的各种类似于毕业设计的小项目，各种越权漏洞（数据库查询的时候 where 只接收 url 带上的 id ，不带上 session 里面的 user id 做限制条件）还有下载漏洞（../../这种的）还有上传不校验扩展名的（直接上传一个 jsp 到你服务器上），现在我们还在学最基础的 jsp ，至于其他 xss ， csrf 的就更不用说了，从学校开始就有这种只看分数只看效果的思想，不重视隐含问题的习惯，只能靠以后职业生涯中的碰壁来修正吧。

[MrMario]

@cjyang1128 不妨再加上 http-only ^_^

[dreamcountry]

楼主这标题扣的帽子太大了，你说国内某些互联网公司还差不多

[cjyang1128]

@MrMario 对，就是 http-only

[lujiajing1126]

@peneazy
模板渲染里面的 escape 问题应该是比较基础的啊
你用 jQuery 一样也会有这样的问题
这和你用什么工具无关

[peneazy]

@ma63d 我明明在正文里说 Vue 好，做了一定的防范，相比 jQuery 更能减少没有安全意识前端出漏洞的可能

[xiaoyu233]

因为前端漏洞不如后端漏洞简单粗暴？

[julyclyde]

前端作为一个“界”存在于业内也就七八年吧，哪儿有那么多经验流传下来啊……

[wobuhuicode]

不要相信任何传过来的信息……这个是做后端最基本的原则……前端只是用来显示，不是写逻辑的

[falcon05]

前端还要担心安全的时候，说明后端没做好。

[jackmasa]

跟库关系当然大拉。。。
插个题，有人知道这句代码会导致什么安全问题吗？
```javascript
jQuery.get(location.pathname)
```

[loading]

这个锅应该前端没什么好背的。

[bdbai]

@cjyang1128 你说的是 xss 还是 csrf ？

[Reign]

前端再怎么安全，都是要让后端重新来验证的，还不如放弃前端过滤

[mrjoel]

前端 xss 的受害者一般是用户