已发起的HTTP请求能否通过Javascript访问其响应与载荷数据？

常规场景下，运行在页面上下文的JavaScript无法直接访问已完成的历史HTTP请求的响应或载荷，即便浏览器DevTools的Network面板可以展示所有历史请求记录，这部分数据也不会开放给页面脚本调用。

核心限制原因 #

浏览器的沙箱机制和权限隔离设计，将普通页面JS的操作范围严格限制在当前页面上下文内，DevTools的网络请求记录属于浏览器内核层面的调试数据，权限远高于普通页面脚本，因此不会向页面暴露读取接口。

特殊场景下可获取请求数据的情况 #

只有以下几种符合权限规则的场景，才有可能拿到请求相关数据，且都不是直接读取浏览器的历史请求记录：

• 请求发起前已通过脚本劫持原生请求API：如果XSS脚本提前重写了XMLHttpRequest、fetch等浏览器原生请求接口，就可以在请求响应返回的第一时间拦截并留存载荷数据，后续可以读取自己留存的这部分数据。示例劫持代码如下：

  // 劫持fetch API示例
  const originalFetch = window.fetch;
  window.fetch = async (...args) => {
    const response = await originalFetch(...args);
    // 克隆响应对象避免影响原请求流程
    const clonedRes = response.clone();
    const payload = await clonedRes.json();
    // 此处可以将payload发送到攻击者服务器
    console.log('劫持到的响应载荷', payload);
    return response;
  };
  

• 页面本身已将响应数据存储到可访问的区域：如果业务代码主动将历史请求的响应存入了全局变量、localStorage、sessionStorage、IndexedDB等当前源下JS可访问的存储位置，XSS可以直接读取这些已存储的数据。
• 取得Service Worker控制权：如果XSS脚本能够注册或篡改当前源的Service Worker，就可以通过Service Worker的请求拦截能力获取所有经过Worker代理的请求数据，但同样只能拦截劫持生效后的实时请求，无法读取之前的历史记录。

XSS的能力边界说明 #

常规未做权限升级的XSS，默认只能获取当前源下未设置HttpOnly标记的Cookie、localStorage/sessionStorage内容、当前页面DOM数据，以及劫持生效后新发起的请求数据，无法直接读取浏览器存储的历史请求记录。

内容的提问来源于stack exchange，提问作者synergy77