आरजेएस का उपयोग क्यों नहीं किया गया

JQuery में एक अंतर्निहित सुविधा है - यदि सर्वर सामग्री-प्रकार = पाठ / जावास्क्रिप्ट के साथ प्रतिक्रिया करता है, तो लाइब्रेरी स्वचालित रूप से उत्तर निष्पादित करेगी।

jQuery.ajaxSetup({ accepts: { script: "text/javascript, application/javascript, application/ecmascript, application/x-ecmascript" }, contents: { script: /(?:java|ecma)script/ }, converters: { "text script": function( text ) { jQuery.globalEval( text ); return text; } } }); 

इसलिए, "JSON को संसाधित करना होगा जो सही होने के बजाय जावास्क्रिप्ट की एक पंक्ति के साथ उत्तर की रणनीति" रेल में काफी आम है।


यानी Index.js.erb का उत्तर इस तरह दिख सकता है:
$('#content').html('Hello, id123123')




और यहाँ इस तरह की समस्या है - अगर मैं तीसरे पक्ष के सर्वर पर src = "/ profile.js" के साथ एक स्क्रिप्ट टैग सम्मिलित करता हूं, तो यह अनुरोध एक वैध जावास्क्रिप्ट लौटाएगा जो मेरे पृष्ठ के संदर्भ में निष्पादित होगा। डेटा चुराने के लिए, आपको केवल फ़ंक्शन $ = {html: फ़ंक्शन (डेटा) {LEAK (डेटा)}} को फिर से लिखना होगा;

बग मौजूद था, उदाहरण के लिए, गिटलैब, बेसकैंप, रेडमाइन, स्प्री, डायस्पोरा। वह पूर्ण रूप को मर्ज कर सकता है, जो बदले में इनपुट प्रकार = छिपा नाम = प्रामाणिकता_टोकन (उपयोगकर्ता का सीएसआरएफ_टोकन) देता है।

यह बग अनिवार्य रूप से JSONP मर्ज का पुनर्जन्म है, जो केवल डेवलपर्स के लिए कम स्पष्ट है। यदि आपके पास * .js। * फ़ाइलें / एप्लिकेशन / दृश्य फ़ोल्डर में हैं, तो आप सबसे अधिक संभावनाशील हैं। बग को RoR के नए संस्करण में तय किया गया है।