14年码农亲历：跨端兼容，点击即达

　　去年八月份那波跨端兼容，差点没把我逼疯——安全组那帮人天天在群里@我，说新上线的H5页面在安卓12上点登录按钮没反应，iOS14又报XSS告警。我原以为又是前端那套CSS兼容性问题，结果一查日志，好家伙，攻击流量混在正常请求里，WAF规则全绕过去了。最离谱的是，有个IP连续三天凌晨两点发POST请求，参数里带着base64编码的shell脚本，解码一看，居然是拿我们接口做跳板去扫内网端口。

文章配图，仅供参考

　　第二天开复盘会，安全总监拍桌子说：“跨端兼容不能只管前端显示，安全也得跟着走！”我差点笑出声——这哥们上个月还跟我说“安全是成本不是收入”，现在倒知道喊口号了。不过他说的没错，我们之前确实把安全当后处理：前端写完代码，安全组扫一遍漏洞，有就改，没有就上线。结果这次被攻击，根本原因是前端为了兼容旧版安卓，把XSS过滤逻辑拆成了两段，一段在客户端，一段在服务端，攻击者直接绕过客户端，只发服务端能解析的恶意参数，WAF自然抓不到。

　　后来我们改了策略：所有跨端兼容的代码，必须先过安全组的渗透测试，再走兼容性测试。那段时间我天天跟安全组吵架——他们说“这个输入框得限制长度，不然容易堆溢出”，我说“限制了长度，旧版iOS就显示不全”；他们说“这个按钮得加CSRF Token，不然容易被劫持”，我说“加了Token，安卓4.4的WebView会崩溃”。最夸张的一次，为了一个登录按钮的兼容性，我们改了七版代码，安全组测了十三次漏洞，最后还是漏了个反射型XSS——因为旧版Chrome的DOM解析逻辑跟新版不一样，攻击者利用这个差异绕过了过滤。

　　不过吵归吵，效果倒是立竿见影。改策略后的三个月，攻击流量降了八成，WAF的误报率也从每天三百多条降到不到十条。有天晚上我加班到十点，安全组老张突然发消息：“老陈，今天日志里没发现可疑IP，你那边兼容性测试通过的版本，安全漏洞少了好多。”我回他：“那当然，安全现在跟兼容性绑死了，前端敢写不安全的代码，测试组直接打回，连上线机会都没有。”他发了个竖大拇指的表情，又补了句：“不过你们下次改代码，能不能别半夜发版本？我老婆以为我在外面有女人了。”

　　现在回头看，跨端兼容和安全确实得“点击即达”——不是指用户点一下就能用，而是指开发流程里，安全和兼容性得像开关一样，一开全开，一关全关。我们之前把安全当成本，觉得多测漏洞多花钱；现在才明白，安全其实是收入——少被攻击一次，少丢一份数据，少赔一笔钱，这比写十行兼容性代码值钱多了。当然，这话我可没跟安全总监说，省得他又拍桌子。

　　对了，上周安全组又扫出个漏洞——有个旧版安卓的WebView组件，能通过JavaScript调用本地文件系统。我们查了日志，发现这个漏洞在三个月前就被利用过，攻击者用它偷了用户通讯录。现在的问题是，这个WebView组件是第三方库的，我们没法直接改代码，只能通知用户升级。可你知道的，用户哪会听我们的？昨天看数据，还有百分之三十的用户在用旧版。这事儿我说不准什么时候能解决，但至少现在，安全组和前端组终于坐在一条板凳上了——以前他们见了就躲，现在天天一起改代码，连午饭都吃一块儿去。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!