xss - すべてのページで document.domain を明示的に設定する

Question

サイトのすべてのページに document.domain を設定することをお勧めします。たとえば、サイトが「www.example.com」の場合。しかし、「en.example.com」と「fr.example.com」と「www.example.com:8444」も使用します。これらすべてのドメインは、xss の問題に対処しなければならない場合の作業を困難にします。すべてのページで明示的に document.domain = 'example.com' を設定するのはひどい考えですか?

Answer 1

場合によります。これは、他のサブドメインでも同じことができることを意味するため、信頼レベルが低いサブドメイン (ads.example.com や survey.example.com など) が出現すると、戻ってきて噛まれる可能性があります。