Атаки Meteor.js и CSRF/XSS

Question

Является ли среда Meteor.js уже обрабатывает меры против атак CSRF и XSS? Если нет, то какие другие меры предосторожности мы должны принимать во внимание?

Answer 1

Механизм рендеринга страницы Meteor позаботится об экранировании специальных символов при работе с привязками данных, которые сохраняются при использовании очень простых атак XSS. Кроме того, Meteor предоставляет очень простые в использовании API-интерфейсы для управления политикой браузера (http://docs.meteor.com/#browserpolicy), такими как параметры кадрирования или параметры политики содержимого.

Следует упомянуть пакеты check и audit-argument-checks - они помогают вам проверять входные данные пользователя на основе их типов, чтобы предотвратить инъекции MongoDB.

Атаки CSRF в Meteor невозможны, так как сама фреймворк не использует файлы cookie вообще и предпочитает HTML5 localStorage, который намного сложнее обмануть.

Для расширенных разрешений учетных записей, проверьте пакет метеорных ролей: https://atmospherejs.com/alanning/roles, вы можете реализовать все это вручную, но пакет хорошо сохранен (хотя он не является частью ядра).

См. Эту страницу для получения дополнительной информации: http://security-resources.meteor.com/.

Кроме того, Emily Stark, Метеор Ядро Дев много говорили о безопасности в Метеоре, и как это поможет вам получить контроль над безопасностью в приложении:

• Original talk at Meteor Devshop 6
• Lightning talk on Mongo injection she found
• A talk at Hack Reactor
• Meteor and Web Security talk at Pivotal Labs
• Security in single-paged apps talk at GitHub
• Why Meteor doesn't use session cookies