VPF::Как безопасно вызвать JS функцию из ActiveX?

Dimonius

Дата 3.9.2008, 11:51 (ссылка)

(нет голосов)

Загрузка ...

Шустрый

Профиль
Группа: Участник
Сообщений: 51
Регистрация: 11.10.2006

Репутация: нет
Всего: 1

Ситуация следующая:
ActiveX висит на странице и по определённому условию выполняет JS функцию на странице. Вызов происходит посредством того, что JS слушает события от ActiveX.

Код


<script for="MyControl" event="MyEvent(e)" language="jscript" type="text/jscript">
try {
   eval(e.Text);
}
catch {
}
</script>

Вызывается следующая функция:

Код


<script language="javascript" type="text/javascript">
function myFunction(par1, par2) {
   alert(par1 + "-" + par2);
}
</script>

ActiveX передаёт с событием примерно следующий текст:

Код


myFunction('Number','1');

Получается что ActiveX может выполнить всё что угодно на странице, включая то, что он может включить в страницу свою JS функцию и выполнить её! Я подозреваю, что где-то в этом затаилась уязвимость.

Подскажите как безопасно вызывать JS функции из ActiveX?
ActiveX написан на C#. JS функции заранее написаны на странице.

Это сообщение отредактировал(а) Dimonius - 3.9.2008, 13:03

Dimonius

Дата 5.9.2008, 10:50 (ссылка)

(нет голосов)

Загрузка ...

Шустрый

Профиль
Группа: Участник
Сообщений: 51
Регистрация: 11.10.2006

Репутация: нет
Всего: 1

Сделал следующим образом: получаю событие от ActiveX, в переданном объекте хранятся параметры функции, которая должна быть вызвана по событию.

Код


<script for="MyControl" event="MyEvent(e)" language="jscript" type="text/jscript">
try {
   myFunction(e.par1, e.par2);
}
catch {
}
</script>

Вольности ActiveX'у поубавил smile

, считаю решение приемлемо безопасным.

JSman

Дата 7.9.2008, 02:40 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 279
Регистрация: 10.7.2006

Репутация: нет
Всего: 4

Цитата(Dimonius @ 3.9.2008, 11:51

)

Подскажите как безопасно вызывать JS функции из ActiveX?

Для этого существует политика безопасности. Само использование ActiveX говорит о полном доверии пользователя к Вашему продукту. Поэтому, не стоит надееться на то, что такие прикольные заплатки на скрипте помогут решению ситуации угрозы безопасности.

1 Пользователей читают эту тему (1 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| JavaScript: Общие вопросы \| Следующая тема »