排查disabled问题之谷歌新版本特性

问题复现

最近我突然接手一个后台的bug,这个后台很久没有迭代更新了,我也不熟悉业务,所以只能看一下源码,问题很快就复现,测试的修复操作也很正确,就是因为渲染的input标签中存在disabled='disabled’属性导致的。

不过很奇怪的是,我问之前是正常的吗?

这部分代码已经很久没有改动过了

但是测试和运营那边的人员都坚持,两个月前还是正常的,记录能够证明,我先怀疑的是,两个月前是正常的,那是不是两个月前有迭代,谁更新了什么依赖的版本导致出现的bug,然后就开始找仓库最后一次修改记录。

查找记录

确实这个仓库的最后一次提交记录是一个月前,然后我就仔细看了一下,是修改了什么导致的

但是最后一次修改记录中,也没有改到依赖package.json,也没有更新lock文件,只有三个文件的变化,这看着都不会影响全局的内容,最重要的是,没有改到相关页面的代码。

代码本地回滚

没有其他办法,我只能本地代码回滚,看看是不是上次迭代导致出现了bug,但是代码回滚之后,这个问题依然存在。

我开始思考,项目是vue2的,vue的版本是2.7.14

导致的原因是disabled属性

这是一个子组合,父组件传递的属性确实是false,而且不传递这个属性时,默认值也是false

问题修复

我写了一个在线的demo复现

https://codesandbox.io/s/intelligent-engelbart-3h9fcq

代码如下:

<template>
  <div id="app">
    <HelloWorld msg="Hello Vue in CodeSandbox!" />

    <div class="box">
      <input disabled />
    </div>
    <hr />
    <div class="box">
      <input :disabled="disabledVal" />
    </div>
  </div>
</template>

<script>
import HelloWorld from "./components/HelloWorld";

export default {
  name: "App",
  components: {
    HelloWorld,
  },
  data() {
    return {
      disabled: false,
      disabledVal: false,
    };
  },
};
</script>

<style>
#app {
  font-family: "Avenir", Helvetica, Arial, sans-serif;
  -webkit-font-smoothing: antialiased;
  -moz-osx-font-smoothing: grayscale;
  text-align: center;
  color: #2c3e50;
  margin-top: 60px;
}
.box {
  width: 100%;
  height: 100px;
  display: flex;
  justify-content: center;
  align-items: center;
}
</style>

页面解析如下:

由于data中或者props中,disabled变量,直接赋值给template模板中的disabled的属性;当disabled变量为false,页面解析出来的标签还是带有disabled属性的,属性值也是disabled,浏览器的表现形式为禁用,这其实不符合逻辑了。


当disabled变量为true,就直接禁用

当disabled变量为false,是不禁用状态

这才是理想状态,看来这是vue2解析的问题,把变量名改成disabledVal,这个问题就解决了,这说明Vue2对元素自带属性,不能定义为变量,不然很容易出现问题呀。

到这里大家请牢记,取变量名很重要,能够阻止一些奇怪的bug产生哦

根本原因

到这里我还是疑惑的,为什么之前能够正常使用的,现在突然不能用了?盯着bug工单上的浏览器版本,我赶紧查看了谷歌浏览器更新的新特性

还真被我找到了,全局搜索disabled还是很有用的

原文在这里

https://chromestatus.com/feature/6128674512830464

翻译截图

正好是116版本的新特性,而存在disabled属性的元素禁止点击事件了,这也是为什么两个月前是正常的原因了

正好是一个月前发布的,而我的电脑设置的是自动检测更新,所以已经更新到最新版本了,而谷歌浏览器默认是自动更新,所以就出现了这个bug.

对比

114版本

很多小伙伴不知道如果是116版本以前的浏览器会是什么效果,正好我有两个浏览器,一个已经自动升级到最新版本,一个还是114版本

image.png

现在我们就对比一下,两者又有何不同

代码如下:

<template>
<div id="app">
<HelloWorld msg="Hello Vue in CodeSandbox!" />
<div class="box">
<input @click="handleClick" disabled />
</div>
<hr />
<div class="box">
<input @click="handleClick" :disabled="disabledVal" />
</div>
</div>
</template>

<script>
import HelloWorld from "./components/HelloWorld";
export default {
    name: "App",
    components: {
        HelloWorld,
    },
    data() {
        return {
            disabled: false,
            disabledVal: false,
        };
    },
    methods: {
        handleClick() {
            console.log('click----')
        }
    }
};
</script>

<style>
#app {
font-family: "Avenir", Helvetica, Arial, sans-serif;
-webkit-font-smoothing: antialiased;
-moz-osx-font-smoothing: grayscale;
text-align: center;
color: #2c3e50;
margin-top: 60px;
}
.box {
width: 100%;
height: 100px;
display: flex;
justify-content: center;
align-items: center;
background-color: pink;
}
</style>

效果如下:

222.gif

同样的代码,在114版本的时候,我们发现disabled为false的时候,这个input标签是禁用状态,
而且我们可以给这个input标签父元素绑定点击事件,这个点击事件是能够执行的.

另外codesandbox可以打开到新tab页观看效果

image.png

这样打开就能打开控制台,看到vue编译之后的HTML模板了

image.png

116版本

现在我们接着来看116版本的, 虽然是Microsoft Edge浏览器,但依旧是谷歌内核哦, 所以还是一样的

image.png

效果如下:

222.gif

我们能够看到, 这里的116版本的是已经禁止了点击事件冒泡的, 114版本的是还能够点击事件冒泡传播.

所以导致这个bug出现, 正是谷歌内核新增新特性导致的, 禁止了点击事件.

  • 0
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 4
    评论
对于"disabled_button"的攻击和防御,以下是一些可能的措施: 攻击: 1. 用户端注入攻击:攻击者可能尝试通过修改用户端代码来绕过按钮禁用功能。为了防止这种攻击,应该在服务端进行输入验证和安全性检查,并在用户端使用合适的安全控件。 2. 脚本注入攻击:攻击者可能尝试通过向输入字段注入恶意脚本来绕过按钮禁用功能。为了防止这种攻击,应该对输入进行严格的过滤和转义,确保用户输入不会被当作代码执行。 防御: 1. 服务端验证:在接收到用户请求时,服务端应该对请求进行验证,确保用户具有执行相应操作的权限。如果用户没有权限执行操作,服务器应该返回错误信息,并阻止操作的执行。 2. 前端控制:在前端页面中,可以使用JavaScript等技术来禁用按钮。通过设置按钮的disabled属性,可以防止用户通过点击按钮来触发操作。同时,还可以通过合适的前端框架或库来进行表单验证,确保用户输入的有效性。 3. 输入过滤和转义:在接收用户输入时,应该对输入进行过滤和转义,以防止恶意脚本注入攻击。可以使用合适的编程语言或库来进行输入验证和处理,确保用户输入的安全性。 需要注意的是,以上只是一些常见的防御措施,具体的实施方法和技术取决于具体的应用场景和开发环境。在开发过程中,应该结合具体的需求和安全威胁来选择合适的防御策略。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 4
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值