站長資訊網
javascript具有安全性。JavaScript是一種安全性語言，它不允許訪問本地的硬盤，并不能將數據存入到服務器上，不允許對網絡文檔進行修改和刪除，只能通過瀏覽器實現信息瀏覽或動態交互；從而有效地防止數據的丟失。
前端（vue）入門到精通課程：進入學習
API 文檔、設計、調試、自動化測試一體化協作工具：點擊使用
本教程操作環境：windows7系統、javascript1.8.5版、Dell G3電腦。
JavaScript（簡稱“JS”）是當前最流行、應用最廣泛的客戶端腳本語言，用來在網頁中添加一些動態效果與交互功能，在 Web 開發領域有著舉足輕重的地位。
JavaScript 是一種采用事件驅動的腳本語言，它不需要借助 Web 服務器就可以對用戶的輸入做出響應，例如我們在訪問一個網頁時，通過鼠標在網頁中進行點擊或滾動窗口時，通過 JavaScript 可以直接對這些事件做出響應。
JavaScript 不依賴操作系統，在瀏覽器中就可以運行。因此一個 JavaScript 腳本在編寫完成后可以在任意系統上運行，只需要系統上的瀏覽器支持 JavaScript 即可。
JavaScript是一種安全性語言，它不允許訪問本地的硬盤，并不能將數據存入到服務器上，不允許對網絡文檔進行修改和刪除，只能通過瀏覽器實現信息瀏覽或動態交互；從而有效地防止數據的丟失。
易于實現的5個JavaScript安全最佳實踐
1、使用 JavaScript linter
避免 JavaScript 安全問題的最簡單和最簡單的方法是檢查代碼。Linter 是靜態代碼分析工具，可檢查你的代碼是否存在編程和風格錯誤、代碼異味和已知的安全漏洞。
三種最著名的 JavaScript linter 是 JSHint、JSLint 和 ESLint。 現代源代碼編輯器，例如 Visual Studio Code 和 Atom，也帶有可插入的 JavaScript linting 功能。
2、避免使用內聯 JavaScript 并建立內容安全策略
使用內聯腳本標簽會使你的網站或應用程序更容易受到跨站點腳本 (XSS) 攻擊。 你可以通過將所有腳本(包括內聯事件處理程序(例如 onclick))添加為外部 .js 文件來避免這種 JavaScript 安全風險。
為了提高安全性，我們還建議你建立內容安全策略 (CSP)。 這是客戶端和服務器之間通信中的一個安全層，允許你向 HTTP 響應標頭添加內容安全規則。
如果你的頁面上沒有任何內聯腳本，則設置更有效的 CSP 會更容易。 你可以使用 script-src 和 default-src 指令來阻止所有內聯腳本，因此如果任何惡意內聯腳本試圖在你的站點上執行，它將自動失敗。
3、驗證用戶輸入
在客戶端和服務器端驗證用戶輸入對于避免惡意代碼注入至關重要。
HTML5 表單帶有內置的表單驗證屬性，例如 required、min、max、type 等，讓你無需在客戶端使用任何 JavaScript，即可檢查用戶數據并返回錯誤消息。 你還可以使用模式 HTML 屬性通過正則表達式驗證輸入的值。
除了這些 HTML5 屬性之外，現代瀏覽器還支持 Constraint Validation API，允許你使用 JavaScript 執行自定義輸入驗證。
這是一個 Web API，它擴展了屬于表單中使用的不同 HTML 元素(例如 HTMLInputElement、HTMLSelectElement 和 HTMLButtonElement)的 JavaScript 接口，并提供了有用的屬性和方法，用于根據不同的約束檢查輸入有效性、報告有效性狀態以及執行其他操作。
4、轉義或編碼用戶輸入
為了避免 XSS 攻擊，對傳入或不安全的數據進行轉義或編碼也很重要。轉義和編碼是將可能構成安全風險的特殊字符轉換為安全形式的兩種技術。
雖然編碼會在潛在危險字符之前添加一個額外字符，例如 JavaScript 中引號前的 字符，但轉義會將字符轉換為等效但安全的格式，例如將 > 字符轉換為 > HTML 中的字符串。
根據經驗，當 HTML 實體(例如 < 和 > 字符)來自不受信任的來源時，你應該始終對其進行編碼。要轉義 URI 和 JavaScript 代碼，你可以使用免費的轉義/編碼工具，例如 FreeFormatter 的 JavaScript String Escaper 和 URL Encoder/Decoder。
最好避免使用返回未轉義字符串的 JavaScript 屬性和方法。例如，你可以使用安全 textContent 屬性而不是解析為 HTML 的 innerHTML(因此字符不會被轉義)。
5、壓縮、捆綁和混淆你的JavaScript代碼
最后，你可以使用 Webpack 等具有
