JavaScript大師：網路開發技術發展應該更重安全 文/蘇文彬 (記者) 2010-04-23 由於當前技術仍偏向功能強化為主要思維，指令碼趨向龐雜的結果，容易產生更多安全漏 洞，且失去快速因應攻擊調整架構的靈活性。 身為JavaScript網路技術重要推手的雅虎（Yahoo!）架構設計師Douglas Crockford表示 ，現行網頁開發技術思維仍偏重多媒體功能或瀏覽效能的提昇，未來應以安全為第一優先 。 Crockford現為Yahoo!資深JavaScript架構師，負責YUI（Yahoo! User Interface）的架 構設計，並且擔任ECMA JavaScript 2.0技術委員會成員，為JavaScript開發社群大師級 人物，此次受邀來台參加OSDC（Open Source Developer's Conference Taiwan）進行專 題演講，向國內開發者介紹ECMA JavaScript的發展。 Crockford向媒體闡述網路技術發展時指出，當前的網路技術仍然不脫過去的思維，網頁 開發技術仍以功能強化、瀏覽網頁效能提昇為主，雖然強化了網路開發的豐富性，但未將 網路安全列為開發優先考慮因素的結果，致使網路安全事件層出不窮。 延續過去網路開發思維的結果，現今網路技術強調強大的互動、多媒體功能，但也讓一些 攻擊手法興起，以XSS（Cross-Site Scripting）為例，由於內嵌多個不同來源的指令碼 ，容易讓駭客藉指令集趁虛而入，竊取用戶端電腦的資料。 雖然也有新的技術，如Google推動的Caja，用以防範XSS跨站攻擊手法，但整體技術發展 方向仍是朝功能、效能提昇前進。 以HTML 5技術為例，Crockford表示，雖然HTML5增加了許多功能，但讓整個指令碼變得更 為龐大且複雜，容易產生漏洞遭到攻擊；另外，支援存取使用者電腦、手機的終端資料， 將資料被竊的安全風險擴大至手機上，而過於龐大複雜的結果，不容易因應日新月異的攻 擊手法改變，長期而言易形成安全風險。 對於當前瀏覽器業者形成速度競賽，紛紛強化JavaScript引擎加速網頁瀏覽速度，號稱最 快的瀏覽速度，他認為，瀏覽器加速網頁瀏覽速度雖是好事，但這樣改善方式有限，只在 5至10%的終端瀏覽器部份加速，若能同時改善伺服器端，加速的效果更大。 對於制定中的新標準ECMA Script 5，他樂觀預期未來將成為主要的網路開發標準，雖然 Apple、Chrome還不明確，但包括IE、FireFox、Opera都傾向ECMA Script 5，今年應會看 到新的瀏覽器採用。 http://www.ithome.com.tw/itadm/article.php?c=60835 --

※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 123.194.186.96