JS 框架安全报告：jQuery 下载次数超过 1.2 亿次-低调大师

JS 框架安全报告：jQuery 下载次数超过 1.2 亿次

2019-11-11 541

尽管 JavaScript 库 jQuery 仍被使用，但它已不再像以前那样流行。根据开源安全平台 Snyk 统计，目前至少十分之六的网站受到 jQuery XSS 漏洞的影响，甚至用于扩展 jQuery 功能的 jQuery 库还引入了更多的安全问题。

Snyk 发布了 2019 年 JavaScript 框架的状态安全报告，该报告主要是对两个领先的 JavaScript 框架(Angular 和 React)进行安全审查，但同时还调查了其他三个前端 JavaScript 生态系统项目的安全漏洞：Vue.js、Bootstrap 和 jQuery 等。

报告显示，在过去 12 个月中，jQuery 的下载次数超过 1.2 亿次，相当于 Vue.js(4000 万次)和 Bootstrap(7900 万次)加起来的下载次数。在报告中，Vue.js 被发现漏洞有四个，但已全部修复；Bootstrap 包含七个跨站点脚本(XSS)漏洞，其中有三个是在 2019 年披露的，目前没有任何安全修复或升级途径来避免；而在 jQuery 中，迄今为止被跟踪影响到所有版本的六个漏洞，其中四个属于中等级别的跨站点脚本漏洞，一个属于中等级别的原型污染漏洞(Prototype Pollution)，另一个是低级别的拒绝服务漏洞。

Snyk 报告的结论是，如果你使用 jQuery 3.4.0 以下版本，则容易遭受攻击。

而根据 W3Techs 的数据，使用 jQuery v1.x 的网站占了 84%，这导致它们存在四个中等级别的 XSS 漏洞隐患，使用 jQuery 扩展库(其中 13 个已识别漏洞)会加剧这种情况。

在 Snyk 报告中，jquery.js 是一个恶意包，过去 12 个月中被下载了 5444 次，它的严重程度与其他两个开源社区模块的恶意版本一样高（ jquery-airload 322 次下载和 github-jquery-widget 232 次下载）。

报告还列出另外三个扩展库：jquery-mobile、jquery-file-upload 和 jquery-colorbox，虽然其中包含任意代码执行和跨站点脚本安全漏洞，且没有任何升级途径可修补这些漏洞，但它们还是在过去 12 个月中总共下载了 34 万次以上。

近年来有人认为 jQuery 不再流行，而根据报道目前它仍有高下载量，原因可能如下：

目前它还有大量教程、现有网站及软件等都是使用
jQuery 相关的插件非常丰富，很多新出的 js 框架也支持 jQuery
大量的程序员用过 jQuery，熟悉它的语法和功能，后期也会继续使用

参考：i-programmer

微信关注我们

原文链接：https://www.oschina.net/news/111220/perils-of-jquery

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

bbs-go 3.0.3 发布，基于 Go 语言的 BBS 系统

发布地址 https://github.com/mlogclub/bbs-go/releases/tag/v3.0.3 更新内容支持Docker快速部署 ( 感谢热心用户 @athom 的PR #25 ) 新增本地快速构建脚本完善后台配置功能，导航菜单、侧边栏导航都能在后台配置优化数据库索引和数据查询性能 Iris升级至版本12 ( 感谢Iris作者的PR：#27 ) 重构代码，优化代码结构完善配置部署文档 ( http://docs.bbs-go.com/ ) 使用帮助 http://docs.bbs-go.com 功能预览问题反馈 https://mlog.club/topic/create

2019-11-11

758

1、背景公司一个 RocketMQ 集群由4主4从组成，突然其中3台服务器“竟然”在同一时间下线，其监控显示如下：依次查看三台机器的监控图形，时间戳几乎完美“吻合”，不可思议吧。 2、故障分析出现问题，先二话不说，马上重启各服务器，尽快恢复集群，降低对业务的影响，接下来开始对日志进行分析。 Java 进程自动退出(rocketmq 本身就是一个java进程)，一种最常见的问题是由于内存溢出或由于内存泄漏导致进程发送Crash等。由于我们的启动参数中未配置-XX:+HeapDumpOnOutOfMemoryError -XX:HeapDumpPath=/opt/jvmdump 这两个参数，不能直接根据是否生成 dump 文件，那退而求其次去查看其GC日志，将GC日志下载到本地，然后可以使用一个在线gc日志分析工具：https://gceasy.io/ ，将 gc 日志上传后会给出图形化的展示，其图如下：发现垃圾回收很正常。既然 Java 进程不是由于内存溢出等问题导致的退出，那又会是什么原因呢？那我们来看一下那个点的broker的日志，其关键日志截图如下：发现 broker...

2019-11-10

694

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。