将 Active Content Filtering 用于 Project Zero 应用程序的安全性

借助活动内容过滤（Active Content Filtering，ACF）避开对 Web 2.0 应用程序的常见攻击（例如跨站脚本）并显著提高 Project Zero 应用程序的安全性。ACF 是 Project Zero 内的一个可分解组件，ACF 提供的库能从请求数据（例如请求参数）和发送到客户机的响应输出中删除活动内容。通过本文，您将了解如何将 ACF 应用到可能包含活动内容的 Project Zero 环境以及这样做所能带来的强大功能。

ACF 简介

要了解 ACF，首先要对 Project Zero 有大致的认识。如下内容摘自 Project Zero Web 站点：

“Project Zero 是 IBM® 内部发起的一个孵化器项目，侧重于下一代动态 Web 应用程序的敏捷开发。 Project Zero 引入了一种简单的环境，基于流行的 Web 技术创建、组装和执行应用程序。Project Zero 环境包括一个面向 Groovy 和 PHP 的脚本运行时，且具有应用程序编程接口，这些接口针对 REST 风格服务、集成 mashup 和富 Web 接口的生成进行了优化。”

Project Zero 主要针对的是一下代动态 Web 应用程序（通常归类为 Web 2.0），本文侧重于交互式 Web 应用程序，这些应用程序可能会包含用户提供的内容，比如 mashup、wiki 和 blog。为了支持这些应用程序，Project Zero 提供了 ACF 库，应用程序开发人员可以将其包括在 Zero 应用程序之内。ACF 让开发人员能够避开经常在这类应用程序出现的跨站脚本等问题（有关跨站脚本的描述，请参见 参考资料）。

关于示例

本文提供的示例旨在借助由简到难的用例充分展示 ACF 。这些示例均构建在之前的示例之上。如下是这些示例的一个摘要，每个示例会在随后的章节详细加以介绍：

• 示例 1 是一个很基本的、启用了 Ajax 的页面，它让用户能够向从外部收到的文章发表评论。这个示例展示了若用户评论或文章中包含活动内容 — 比如 JavaScript — 情形将会如何。
• 示例 2 构建在示例 1 的基础上，并包含对 ACF 库的支持。这个示例展示了当文章中包含活动内容 — 比如 JavaScript — 时 ACF 过滤功能如何工作。
• 示例 3 构建在示例 2 的基础上，并支持对请求参数的 ACF 过滤功能。这个示例展示了当用户评论中包含活动内容 — 比如 JavaScript — 时 ACF 过滤功能如何工作。  

本文转自：IBM developerWorks 中国

请点击此处查看全文