咨询：将银行卡/信用卡信息存储在LocalStorage中的安全风险

老兄，我完全懂你的疑惑——HTTPS确实能在传输层加密，但LocalStorage的明文存储简直是给攻击者开了后门，哪怕用了HTTPS也没用。下面给你掰扯几种最常见且有效的攻击路径：

• 跨站脚本攻击（XSS）：这是最直接的威胁。如果网站存在任何反射型、存储型或DOM型XSS漏洞，攻击者就能注入恶意脚本，直接读取LocalStorage里的明文卡号。比如，攻击者发个带恶意参数的链接，你点进去后脚本就会执行localStorage.getItem('your-card-data')，把卡号偷偷发去攻击者的服务器。哪怕是HTTPS，一旦XSS成功，浏览器会信任这个脚本，毫无阻拦地让它访问LocalStorage。

• 恶意/漏洞浏览器扩展滥用：如果你装了一些来路不明的浏览器扩展，或者扩展本身有漏洞被黑客控制了，只要这些扩展有访问该账单网站的权限，就能直接读取LocalStorage里的敏感数据。很多扩展会请求"访问所有网站数据"的宽泛权限，这就等于把你的卡号拱手送给了有问题的扩展。

• 本地物理/恶意软件窃取：如果有人能拿到你的电脑——不管是趁你离开时快速操作，还是通过恶意软件（比如键盘记录器、屏幕截图工具），都能直接打开浏览器开发者工具（F12），在Application标签里找到LocalStorage，复制走明文卡号。哪怕你锁屏了，对方要是能绕过系统登录（比如用PE启动盘），照样能读取浏览器LocalStorage的本地文件（比如Chrome的存储路径是%LOCALAPPDATA%\Google\Chrome\User Data\Default\Local Storage下的sqlite文件）。

• 同源网站漏洞牵连：如果这个账单网站和同域名的其他子站共享LocalStorage（同源策略要求域名、协议、端口一致），要是其中某个子站存在漏洞被攻陷，攻击者就能通过那个子站访问主站的LocalStorage数据。比如pay.example.com和blog.example.com同源，博客站被XSS了，攻击者就能拿到支付站的LocalStorage内容。

• 浏览器云同步/备份泄露：有些浏览器会自动把用户数据同步到云服务（比如Chrome同步、Firefox同步），如果你的云账号被盗，或者本地备份文件被窃取，攻击者就能从备份里提取LocalStorage的明文卡号。另外，恶意软件扫描到浏览器缓存文件时，也可能泄露这些数据。

顺便提一句，这种明文存储的做法完全违反了PCI DSS（支付卡行业数据安全标准），PCI明确要求信用卡数据不能明文存储，哪怕是本地存储也不行，必须加密且密钥不能和数据存放在一起。所以这个网站的做法不仅危险，还严重违规了。

内容的提问来源于stack exchange，提问作者Jon Gunter