Minisheep的个人空间

猫头猪：对，chrome中的javascript和网页中的javascript是运行在不同的context中的，对security的标准也不同。(2005-07-29 23:15)

回复

abc@home： 扩充可以调用内部功能，绕过一般 js 限制。但这些内部功能不可能给网页调用，否则便会做成 greasemonkey 之前的安全漏洞。(2005-07-29 23:15)

回复

abc@home： 除非你在"community.csdn.net"域内，否则不可能在 ie6 执行 (之前的不清楚)。你试试在这里能不能执行： <script language="JavaScript"> var xmlHttp=new...(2005-07-29 23:15)

回复

Minisheep：好像有些扩展，比如Forecastfox就是调用远程服务器的XML来显示天气信息的。为什么这个就行呢？ 扩展一般也是用到JS的吧？(2005-07-29 23:15)

回复

Minisheep：不，IE里没有限制，我用IE6 只要将上面代码中的 var xmlHttp=new XMLHttpRequest(); 换成IE的ActiveX，就能运行。(2005-07-29 23:15)

回复

猫头猪： 以前是不限制的. 如果现在fix了,就是我outdate了.(2005-07-29 23:15)

回复

abc@home：安全问题。 ... IE不做限制，是安全漏洞。 不正确，ie 的 "Microsoft.XMLHTTP" 像一般 js，同样有 cross host 限制。用 ie 试试便知： var url='http://www.firefox.net....(2005-07-29 23:15)

回复

猫头猪：将request放在server端。 否则很容易形成DOS攻击。 比如我在一个主机A页面上加了对另一台主机B的xmlhttpreqeust，那么所有的request都是从客户端发起的，如果有1万个人同时连主机A，就会有针对主机B的一万个httprequest。 如果直接由服...(2005-07-29 23:15)

回复

Minisheep：虽然这么说，但没办法解决吗？或者有没有间接的办法？(2005-07-29 23:15)

回复

猫头猪：安全问题。 firefox中xmlhttprequest的实现只允许发送给相同domain的url，连port不一致都不可以。 IE不做限制，是安全漏洞。(2005-07-29 23:15)

回复