JavaScript不能读取script标签src文件内容 |
您所在的位置:网站首页 › script type默认值 › JavaScript不能读取script标签src文件内容 |
script标签
通常我们页面中创建script标签时要么src引入外部js文件: 要么直接在标签内写内容: 这里是script标签里的内容script标签有一个属性type,默认值:text/javascript,例如你直接声明一个script标签,如果不声明type标签就默认为js文档。 var a = 50; alert(a); // 50当然,你也可以指定它就是纯文本: var a = 50; alert(a); // 提示没有定义 因为第一个script标签type类型为text,浏览器自然就不会把标签里的内容当做js文档处理,也就不会声明a变量。 当然,如果的script标签type=text的时候,标签里无论写什么内容都不会报js语法错误: 这里是script标签内容,没有指定type=text,默认浏览器当做js文档来处理于是会报语法错误 声明为type=text类型,报错消失: 这里是script标签内容,没有指定type=text,默认浏览器当做js文档来处理于是会报语法错误
script理论上也是一个标签,既然是标签那我们就可以获取它的DOM节点: 即使是你声明的script标签type=text/javascript 类型,也能获取获取: // 这里是单行注释 /** * 这里是多行注释 */ var name = "lizhong"; 以上,我们都可以通过dom节点获取script的内容,但无法获取src指定文件的内容。比如: // 这里是单行注释 /** * 这里是多行注释 */ var name = "lizhong";a.js文件内容: var dec = "这里是a.js文件内容";执行: 我们发现居然还是打印页面上声明script时往里写的内容,即使我像正常情况声明script标签: 或者使用type=text类型: 结果还是获取不到a.js的内容: 然而有趣的是,FireFox的FireBug工具显示script标签里的内容就是src指定的文件内容: 但你通过dom节点的innerHTML属性依然读到的内容只是在页面标签里实际写入的内容。 这就引发了一个问题: 假如要是能动态读取script标签src指向路径文件的内容,那么就会非常的不安全。这样,我就会轻易的获取到所有登录我站点用户电脑中的所有文件(至少文本文件的内容)。 如我生成这么一个标签,假定是window平台用户访问我站点,并且拥有D磁盘路径: 它能把我D盘下所有文件目录都能获取到: 然后获取这个script节点内容,经过字符串正则处理读到一大堆文件名,得到文件名后就容易获取文件的内容了。 可惜,大多浏览器都堵住了这个漏洞,别做梦了! |
今日新闻 |
推荐新闻 |
CopyRight 2018-2019 办公设备维修网 版权所有 豫ICP备15022753号-3 |