JavaScript能否安全从不信任/攻击者控制域发起客户端数据获取？

首先明确：浏览器的同源策略（SOP）是核心限制，但存在几种安全的方式来实现需求，具体取决于你是否需要读取数据内容，以及目标域的配合情况。

1. 如果你需要直接读取数据内容 #

只有当目标域主动通过CORS（跨域资源共享）机制允许你的域名访问时，才能安全地读取跨域数据。此时可以使用以下原生API：

• fetch()：现代浏览器推荐的API，示例代码：

  fetch('https://untrusted-domain.example/data.txt', {
    mode: 'cors', // 默认就是cors模式，可省略
    method: 'GET' // 或POST等按需选择
  })
  .then(response => response.text()) // 按需转换为text、blob等格式
  .then(data => {
    // 处理数据（注意：数据不可信，需后续安全处理，不在本次讨论范围）
  })
  .catch(error => {
    // 处理请求失败（比如服务器未设置CORS头）
  });
  

• XMLHttpRequest：传统的跨域请求API，示例代码：

  const xhr = new XMLHttpRequest();
  xhr.open('GET', 'https://untrusted-domain.example/data.txt');
  xhr.onload = function() {
    if (xhr.status >= 200 && xhr.status < 300) {
      const data = xhr.responseText;
      // 处理数据
    }
  };
  xhr.onerror = function() {
    // 处理错误
  };
  xhr.send();
  

但要注意：攻击者控制的域几乎不可能设置Access-Control-Allow-Origin头允许你的域名访问，所以这种方式仅适用于用户可控且愿意配合的域（比如用户自己的本地域、OpenNIC域）。

2. 如果你不需要读取内容，仅需验证资源状态（如是否存在、加载耗时） #

对于攻击者控制的域，如果你不需要读取数据内容，只是需要确认资源是否可访问、或者通过加载时间判断网络情况（比如MITM检测），可以使用不触发SOP限制的资源加载标签，且绝对避免使用<script>标签（会执行JS，有XSS风险）：

• <img>：用于检测资源是否存在，无法读取内容：

  const img = new Image();
  img.onload = () => console.log('资源加载成功');
  img.onerror = () => console.log('资源加载失败');
  img.src = 'http://attacker-controlled-domain.example/test-resource';
  

• <link rel="prefetch">：预加载资源，同样无法读取内容，但可用于判断资源是否可达。

3. 特殊场景：不受SOP限制的WebSocket #

WebSocket协议不受同源策略限制，只要你能与目标服务器建立WebSocket连接，就可以双向交换数据。这适用于需要获取数据但目标域不支持CORS的场景，但需注意：

• 握手阶段仍需遵循HTTP/HTTPS规则，HTTP连接存在MITM风险（符合你提到的漫游网络场景）；
• 攻击者控制的服务器可能发送恶意数据，但你已说明获取后处理不在讨论范围。

示例代码：

const socket = new WebSocket('ws://attacker-controlled-domain.example/ws');
socket.onopen = () => {
  socket.send('GET_DATA'); // 发送请求指令
};
socket.onmessage = (event) => {
  const data = event.data;
  // 处理获取到的数据
};
socket.onerror = (error) => {
  // 处理连接错误
};

关键安全注意事项 #

• 绝对禁用JSONP：JSONP通过<script>标签加载并执行跨域JS代码，攻击者控制的域可以直接注入恶意脚本到你的页面，完全不符合安全要求。
• HTTP请求的MITM风险：在无VPN的漫游网络中，HTTP请求可能被中间人篡改，即使你安全获取数据，数据本身也可能被篡改（但你已说明MITM检测是需求之一，可通过对比TLS和HTTP加载的内容来实现）。
• 不执行未知内容：无论使用哪种方式，都不要将获取到的不可信任数据作为HTML、JS执行，避免XSS攻击（你已说明这部分不在讨论范围，但仍需强调）。

内容的提问来源于stack exchange，提问作者JamesTheAwesomeDude