Bezpieczeństwo wstrzykniętego JS — co realnie może snippet
Wstrzyknięty JavaScript jest potężny — działa z pełnymi prawami strony, którą odwiedzasz. To czyni go użytecznym i jednocześnie wartym zrozumienia. Ten artykuł tłumaczy, co realnie może snippet i komu zaufać.
Co może wstrzyknięty JS
Kod reguły wykonuje się w kontekście strony — ma to samo, co skrypty samej strony:
- Czyta i zmienia cały DOM — także pola formularzy i ich wartości.
- Czyta cookies dostępne dla JS i
localStoragestrony. - Wysyła żądania
fetchw imieniu strony (w granicach jej CSP).
To dokładnie te możliwości, dzięki którym reguły są przydatne. Ale to znaczy, że uruchamiając cudzy snippet, uruchamiasz cudzy kod z tymi prawami.
Czego wstrzyknięty JS nie może
- Nie czyta stron z innych domen — obowiązuje go same-origin policy strony.
- Nie sięga do plików na Twoim dysku ani do innych kart.
- Nie czyta cookies oznaczonych
HttpOnly— te są niewidoczne dla JavaScriptu.
Zasada zaufania — czytaj, zanim wkleisz
JustZix przy imporcie współdzielonego zestawu pokazuje ostrzeżenie, jeśli zawiera on JavaScript — i słusznie. Reguła CSS najwyżej zepsuje wygląd. Reguła JS może odczytać, co wpisujesz w formularz. Zanim uruchomisz cudzy snippet:
- Przeczytaj go. Krótki, czytelny snippet sam się tłumaczy.
- Uważaj na kod zaciemniony — losowe nazwy zmiennych, długie ciągi base64,
eval. Uczciwy snippet nie ma powodu się ukrywać. - Uważaj na
fetchwysyłający dane na obcy adres — to potencjalna eksfiltracja.
Sam JustZix nie szpieguje
Wtyczka nie ma telemetrii — nie raportuje, jakie strony odwiedzasz ani co wstrzykujesz. Backend widzi tylko skrót klucza synchronizacji i zaszyfrowane zestawy reguł. Ryzyko nie leży w narzędziu — leży w kodzie, który sam zdecydujesz się uruchomić. Dlatego pisz reguły sam albo uruchamiaj tylko te, które rozumiesz.
Zobacz też
- Jak działa synchronizacja — co backend widzi, a czego nie
- Injekcja a CSP — granice wstrzykniętego kodu
- JustZix dla zespołu QA — współdzielenie z głową
Zainstaluj JustZix — i uruchamiaj tylko kod, któremu ufasz.
Oceń ten wpis
Brak ocen — oceń jako pierwszy.