这是安全漏洞、XSS 还是 CSRF？

Question

假设我的 javascript 发出 ajax 请求，并在回调函数中执行 eval(response_text) 而不检查 response_text 的任何内容。

有些事情告诉我这不好，但为什么以及如何会被剥削？不会总是我的服务器会向它发送好的数据吗？

Answer 1

如果它来自不受信任的来源，它将很容易受到 XSS 的攻击。攻击者可以调用您网站上的函数。

假设攻击者将脚本标记附加到从他的站点加载脚本的文档中。