У меня SPA приложение на VueJS, которое я сейчас перевожу на nuxt (SSR). На VueJS приложение я собираю на локальном компьютере уже больше года и ни разу никаких проблем не было. Не знаю как будет с nuxt (там nodejs).
Алексей Тен, Допустим, Тостер не фильтрует посты от XSS, я публикую вопрос, в который вставляю js кд, который делает аякс запрос на сайт сбербанка на перевод денег на мою карту. Теперь браузеры пользователей, которые заходят на страницу с моим вопросом, загружают код из моего вопроса и исполняю его. Если пользователь в этом время авторизован на сайте сбербанка, то запрос проходит и я получаю деньги.
XSS атака ведь так выглядит? Понятно что пример утрирован, но ведь идея именна в этом?
Теперь вопрос: Как зловредный скрипт с Тостера сможет получить доступ к моему localStorage на домене сбербанка?
Если я правильно понимаю, это работает так:
Я публикую на каком-нибудь сайте зловредный код, пользователь заходит, у него загружается и выполняется мой код, а в коде, например, идет запрос к апи уже от имени пользователя.
У меня на сайте авторизация через токен, который хранится в localStorage. Данные из localStorage доступны только по определенному домену. То есть, если пользователь зайдет на сайт со зловредным кодом, запрос не сможет выполниться от от его имени, я прав?
Дмитрий Кузнецов, что асинхронность? как nuxt отличит какие запросы надо выполнить, чтоб получиь данные для первого рендеринга, а какие запросы можно не делать? Они ведь все асинхронные!