google-chrome - Chromium の XSS 監査人がスクリプトの実行を拒否しました

Question

これは Chrome インスペクタからのメッセージです。

http://localhost/Disposable Working NOTAS.php XSS Auditor は、スクリプトのソース コードが要求内に見つかったため、スクリプトの実行を拒否し ました。サーバーが「X-XSS-Protection」ヘッダーも「Content-Security-Policy」ヘッダーも送信しなかったため、監査機能が有効になりました。

...ワークフローの大部分に使用するノートブックのlocalhostに数十のWebサイトがあり、ここ数日で、更新されたChromeが何かを変更した後、ほとんどすべてのWebサイトのテキストエリアのコンテンツがファイルに保存されなくなりました。

私が行った編集を保存していたコードは、一様に壊れています。新しいテキストを入力し、保存をクリックすると、作業中の Web ページのスクリプトで file~writing サブルーチンを実行する代わりに、ブラウザで新しい空白のページが開きます。次に戻るボタンを押すと、テキストエリアには新しく追加されたコンテンツが表示されますが、ファイルには変更が追加されていません。

Answer 1

XSS 保護を無効にするよう Chrome に指示する場合X-XSS-Protectionは、値が0. PHP を使用しているように見えるので、コンテンツが出力される前に常に実行される場所にこれを追加します。

header("X-XSS-Protection: 0");

Answer 2

XSS Auditor によってブロックされている場合は、単純に無効にする前に、コードに XSS 脆弱性があるかどうかを確認する必要があります。

XSS Auditor によってブロックされている場合は、XSS の脆弱性があり、それに気付いていない可能性が十分にあります。XSS Auditor を単に無効にすると、脆弱なままになります。つまり、根本的な病気 (根本原因) ではなく、症状を治療することになります。

Answer 3

最近 XSS を勉強していたときに、まったく同じ問題に遭遇しました。以下のスクリーンショットは、Chrome XSS Auditor をバイパスする PHP の方法を示しています。

-- header("X-XSS-Protection: 0"); を追加するだけです。