XSS - 将数据发送到脚本的源服务器？

Question

我正在编写一个JavaScript应用程序，我计划将代码托管在CDN上。现在我计划将此代码包含在我的客户的网站上。但是，我有一个问题，我想使用AJAX在客户端和服务器之间进行通信。现在，根据我对XSS的理解，这是不可能的。

例如：

1. 用户访问site.com，其中脚本标记的源指向cdn.somedomain.com上的文件
2. cdn.somedomain.com上的脚本会触发一个事件。
3. 此事件将与PHP通信。我知道cdn.somedomain.com的脚本可以在site.com上请求文档。但是，是否可以将数据发送回cdn.somedomain.com上的PHP文件？

感谢您帮助创业者！ ：d

Answer 1

我认为这是可能的，但这取决于一些事情。相同的原始策略是一个奇怪的事情，因为它不允许跨域读取，但允许跨域写入。

我认为你可以实现目标的一种方法是发出一个GET请求（最低限度地创建一个iframe，img或其他任何可以提取src的东西）或者甚至可能使用AJAX。如果您的目标是仅发送数据，那么这应该没问题。但是，如果你想要阅读这些数据，那么我认为这将不那么直截了当。我现在无法回答这个问题 - 特别是在不了解有关系统设置的更多细节的情况下。

Answer 2

听起来像是一个奇怪的使用cdn。通常cdns服务静态资产，所以你不会在那里放一个PHP文件。事实上，cdn根本不会运行动态服务器端代码。 您可以通过多种方式解决问题。较新的浏览器支持CORS和跨域ajax。然后cdn必须使用Access-control- *标头。您还可以查看类似easyXDM的内容，它适用于旧版浏览器。