仅浏览器端加载的jQuery/Underscore易受攻击JS库是否无安全风险？

结论先给：当然不是，哪怕这类只做前端展示/功能的JS库，照样可能埋下安全隐患，给你掰扯清楚为啥：

• 库本身的漏洞会被攻击者利用偷用户的东西
  比如旧版本jQuery存在XSS漏洞，攻击者可以构造特殊的页面内容（比如在评论区发恶意代码片段），触发漏洞在用户浏览器里执行恶意脚本。哪怕你的网站不跟服务器交互，这些脚本也能偷用户浏览器里的Cookie（比如网站的登录会话Cookie，哪怕前端没提交，它也是服务器之前设置的）、页面上用户临时输入的敏感信息（比如未提交的银行卡号），甚至控制用户的浏览器操作。

• 库被篡改后是批量自动执行，和用户自己开控制台完全不一样
  你觉得“和Chrome控制台运行代码无差异”，但区别极大：控制台是用户主动操作，而被篡改的库是用户一打开页面就自动运行的，用户根本毫无察觉。比如攻击者黑了你的服务器，把jQuery换成带恶意代码的版本，所有访问你网站的用户都会中招——比如偷他们的浏览器本地存储数据、截屏上传，甚至弹出假登录框骗用户输入密码，这是批量性的受害，和单个用户主动操作完全不是一回事。

• 前端安全直接影响用户，也算网站安全的核心部分
  安全审计不是只盯着服务器，用户端的安全同样重要。就算你的网站只是展示用，但用户在你这里被偷了Cookie，要是你同域名还有其他服务（比如后台管理系统），攻击者拿着偷来的Cookie就能冒充用户登录，间接就威胁到了服务器安全。

所以别大意，赶紧把jQuery、Underscore更新到最新的安全版本；如果用CDN加载，最好加SRI校验确保文件没被篡改；自己托管的话也要定期检查文件完整性。

内容的提问来源于stack exchange，提问作者Fredy31