Terzo comandamento: non caricherò JavaScript senza prima averlo esaminato.

A dicembre, precisamente il 28 , ho pubblicato un articolo su come creare un indice a fisarmonica per categoria .
La mia intenzione iniziale era la stessa di sempre: mostrare come fare qualcosa in modo che chiunque ne avesse bisogno potesse usarlo. Ma questa volta c'era una seconda ragione, un po' più sinistra... ma non troppo.
Volevo parlarne da un po', ma ho preferito farlo, come al solito, con una demo live. Spero di non aver esagerato con questa demo questa volta, perché probabilmente è installata su più di uno dei vostri siti, gli stessi che ora stanno maledicendo tutto. Sì, mi fischiano le orecchie... lo sento.

Immagine: Nukamari

La questione è molto semplice, ma credo che molti di voi la trascurino, probabilmente per ignoranza. Come suggerisce il titolo di questo post, non dovremmo usare JavaScript di terze parti senza essere ragionevolmente certi che il codice faccia ciò che promette di fare . Niente di più, niente di meno.
Quando qualcuno condivide un pezzo di codice con noi come facciamo di solito su Oloblogger – offrendolo nella sua interezza affinché tutti possano installarlo – è relativamente facile darci un'occhiata e, anche senza troppe conoscenze, dedurre che non c'è nulla di sospetto .
Ma se ci viene offerto tramite un collegamento a un file ospitato esternamente, è qualcosa del genere...

...come minimo, dovremmo accedere al file per visualizzarne il contenuto e verificarne la legittimità.
In questo esempio, andremmo su https://googledrive.com/host/0B3b6MFUtZc42bTdJR2JHNkJqOVE/bloggerlabeltoc.css e verificare che si tratti di codice CSS innocuo. Tutti i file possono essere visualizzati se ne si conosce l'indirizzo, indipendentemente dal fatto che si tratti di CSS, di un'immagine o, come in questo caso, di un file .js.
Ma questo non basta, perché essendo ospitato al di fuori del tuo controllo, il proprietario può aggiungere o rimuovere codice da quel file a piacimento e, sebbene inizialmente possa sembrare innocuo, potrebbe diventare pericoloso un giorno.
Le stranezze che ho menzionato prima sono facili da includere in un file JavaScript e, che sia per pigrizia o per ignoranza, se qualcuno mi dà una riga da copiare e incollare che carica tutto, perché dovrei preoccuparmi di copiare un file lungo e prolisso, soprattutto perché dovrei trovare il posto giusto nel mio template? Quindi, gli stiamo rendendo le cose troppo facili.
Possono intrufolarsi nella pubblicità (che tutti potrebbero vedere tranne noi), qualche codice dannoso che manda in tilt la pagina, o chissà cos'altro che non vogliamo.
Nel mio caso, ho incluso un semplice avviso fin dall'inizio nel file .js, che è stato attivato oggi, 1° aprile 2015, approfittando del pesce d'aprile , e fortunatamente per voi, blocca solo la pagina in cui si trova il codice di indice che ho fornito. Se l'avessi scritto per essere inserito nel template invece che in una pagina specifica, chi si sarebbe accorto che ciò che bloccava l'intero sito era qualcosa che aveva aggiunto tre mesi prima?
Ho anche compresso il codice in modo che non potesse essere "letto" nemmeno accedendo al file. Di solito questo viene fatto per ridurre le dimensioni del file, anche se a volte il motivo è impedire ad altri di copiare l'idea. Spesso, perché include un link al sito dell'autore, guadagnando così un punto extra nel PageRank. Se è compresso, non sarai in grado di rimuoverlo proprio a causa dell'illeggibilità di cui ho parlato prima.
In breve, la morale della favola è che di tutto il codice JavaScript che trovi qua e là, dovresti mettere sul tuo blog solo quello di cui sei sicuro sia affidabile perché fa esattamente ciò che dovrebbe fare.
Se il file è ospitato altrove, almeno dagli un'occhiata, ma idealmente, dovresti ospitarlo sotto il tuo controllo ; innanzitutto, nel caso in cui scompaia dall'hosting originale, ma soprattutto, in modo che non possa essere modificato a piacimento a tua insaputa.
Se non ti senti a tuo agio con i siti in cui è possibile ospitare JavaScript, controlla semprePuoi inserirlo nel tuo modello .

Ok, e la cosa più importante per alcuni: per utilizzare l'indice in questione senza ricevere l'avviso di blocco della pagina, basta trovare l'indirizzo https://googledrive.com/host/0B3b6MFUtZc42bTdJR2JHNkJqOVE/bloggerlabeltocmin.js , che fa parte di quel codice, e rimuovere le lettere "min".
Lo stesso vale se hai quest'altro file che ho pubblicato in seguito, quando Google Drive non riusciva a servirlo a troppe persone contemporaneamente:
https://sites.google.com/site/acholoblogger/ficheros/bloggerlabeltocmin.js
. E se sei stato uno degli ultimi a utilizzare http://yourjavascript.com/9952181135/bloggerlabeltocmin.js , il tuo nuovo indirizzo sarà http://yourjavascript.com/5321335181/bloggerlabeltoc.js .
Questo ti permetterà di usare quello che non aggiunge nulla di extra (bloggerlabeltoc.js) al posto del file problematico (bloggerlabeltocmin.js).
O meglio ancora, dato che quest'ultimo è già decompresso, puoi anche inserirlo direttamente nella tua pagina indice invece della riga che lo carica da YourJavascript.com. Questa sarà la soluzione migliore perché, come hai visto, ho dovuto cambiare l'indirizzo tre volte perché i provider di hosting gratuiti si stavano stancando di vedere molti di noi usare lo stesso file ;)

fonte

Archivio Blogger

Cerca nel blog

Terzo comandamento: non caricherò JavaScript senza prima averlo esaminato.

Commenti

Posta un commento