安全防线崩塌前兆：3大加载盲区正吞噬你的防御

　　去年秋天，总编把选题单拍在玻璃隔断上，那声音像指甲刮黑板——不是气的，是冻的。空调开太低，他西装领子硬得能支棱住半块吐司。我原以为就照常过一遍流程：提三个盲区，他划掉俩，留一个让我改三稿。结果他指第三节，“这个‘优胜劣汰’放标题里？删。”我说：“留着就是让它刺人。”他翻了个白眼，手背朝上一掀，像掀掉一张烤糊的饼皮。

　　我数过，那天选题会用了十八分钟。第十七分钟，小编的手机响了一声，微信语音条弹出来，没点开，就那么横在桌角，蓝光一闪，又灭了。她没动。没人动。外卖盒盖子早翘了边，汤渍在纸板上洇出灰黄一圈，底下垫着的三张便签，其中一张写着“CDN缓存头没校验”，另一张写着“别信运维说的‘肯定没动过’”，第三张是空的，只印着咖啡店logo，被手指蹭花了半边。我没碰我的那份，凉透了，葱花沉在油膜底下，跟去年七月那次一样——那次是JS混淆后埋了段base64解密逻辑，跑在login页面的onload之后，解出来的token直接塞进XHR header，而header本身又绕过CSP nonce校验。谁写的？作者自己说“方便调试”，现在还在用。

　　第一个盲区是预加载链路里的第三方脚本注入口——不是你明面上加的analytics.js，是你顺手给ta加的“兼容层”：polyfill.io + cdn.jsdelivr.net + 你本地config里写的fallback路径，三层跳转，其中第二层返回302到GitHub raw，而GitHub raw那个URL……我敢打包票，它三个月前被篡改过一次，response body末尾多了一行script标签，内联执行，内容是伪造的postMessage监听器。但没人查，因为Chrome DevTools Network里看Status都是200，Response Header里的Content-Length也对得上。对得上？对得上个屁。base64解码之后多了三百七十二字节，全塞在注释里，藏在最后一行换行符后面。这种事，你刷十次F5都刷不出来，除非你把响应体导出、hexdump、肉眼扫偏移0x1A8B。我试过。手指按住鼠标滚轮往下滚，中途停了两次，一次是因为隔壁桌咖啡洒了，泼在键盘上，噼啪响；另一次是我自己扫码付奶茶钱——先打开支付宝，再点付款码，再等它自动识别摄像头里的二维码，整整七秒，期间屏幕右上角那个小圆圈转了三圈半。这七秒，足够恶意脚本完成初始信标上报了。

　　第二个盲区？资源优先级声明失效。你写，可实际fetch下来那一刻，浏览器已经把它降级成low priority——为什么？因为你index.html里写了defer的script标签在它前面，且那个script标签没src，只有inline code，但code里调用了document.write()，而document.write()会触发HTML parser重入。重入就重排加载队列。这个机制连Lighthouse都测不出来，它只看你写了preload没写，不看它有没有被后来者当场枪毙。我说不准这是Chromium哪次commit开始的，默认策略变了但没同步更新spec。查过bugzilla，翻到去年十一月一个patch，标题叫“[WIP] Deprioritize preloads after parser-blocking writes”，状态是“IN_PROGRESS”。我截图发群里，作者回了个表情包，一只猫叼着路由器电线，电线那头连着个红叉。我没回。

文章配图，仅供参考

　　说到AB测试，我前天看见主编在钉钉里问“灰度发布能不能切一半流量但只切JS加载？”下面跟了十七条回复，六条带链接，十一条说“试试看”，还有一条是实习生发的：“老师，我们组上周切的那版，用户反馈首页加载时白屏三秒，是不是因为新JS里有个await fetch('/api/guard')卡住了？”没人答。那个问题到现在还挂着，未读，灰底白字，像个还没愈合的创口。KPI是Q4上线率98%，不是防御有效率——有效率？没指标。绩效面谈的时候，总编问我：“你上季度提的加载链路加固方案，落地了几条？”我说两条。他点点头，说“挺好”，然后低头戳手机，微信头像右上角那个红点一直没点掉。我盯着看了七秒。七秒后他抬头，笑了下：“下季度继续。”

　　其实我早该想到，“优胜劣汰”不该放标题里。它太直。安全防线崩塌前，从来不是轰然倒塌，是窸窣声，是边缘毛边被啃掉一截，是你刷新页面时突然多了一毫秒的延迟，是你某天发现waterfall里有条request timeline长得离谱，但你懒得点进去看，因为——反正它不报错，对吧？它不报错。它只是悄悄把token塞进一个没被监控的iframe contentWindow。而我们所有人，包括我，在选题会上嚼着冷掉的米饭，盯着外卖盒边沿那一圈干涸的汤渍，心里默念的都不是“要拦住它”，是“别出事就行”。

　　下次选题会，我打算闭嘴。笔我已经放下了，就搁在总编那张玻璃隔断底下，笔帽朝左，笔尖朝右，没动过。它就在那儿，像一个证物。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!