SFDC AURA 代码安全_event.getsource().get('v.name')-优快云博客

第一部分：Locker浅析

Locker是Aura里为了让组件（Component）能够在独立的名前空间里运行，防止不安全代码运行，这里有如下限制

1:JavaScript的Strict模式被强制使用

变量必须用Var声明之后才能被使用呢

全局变量必须用Window关键字来声明

引用的第三方库也必须是Strict模式

2:Dom的使用只有在同一个名前空间里可以使用

以下是有效的获取DOM元素的方法

cmp.getElements()

cmp.find()

cmp.find("div1").getElement()

event.getSource().get("v.name")

<lightning:button name="myButton" label="Peek in DOM" aura:id="button1" onclick="{!c.peekInDom}"/>

上边儿上的Button因为是lightning名前空间，所以不能使用cmp.find("button1").getElement()来找到他，只能使用.getSource()来判断。

3:封装安全

SecureAura => $A

SecureComponent => Component

SecureComponentRef => Component

SecureDocument => Document

SecureElement => SecureObject

SecureWindow => window

常用查看命令：cmp+""，cmp.find("button1")+""，window+""，$A+""

4:eval默认是返回本地的变量，

        window.foo = 1;

         function bar() {

                var foo = 2;

                return eval("foo");

        }

要想用全局的变量的话要用Function

        window.foo = 1;

        function bar() {

                var foo = 2;

                return Function("foo","return foo")(foo);

        }

JS小课堂：

eval() 函数计算或执行参数。

如果参数是表达式，则 eval() 计算表达式。如果参数是一个或多个 JavaScript 语句，则 eval() 执行这些语句。

5:Locker限制使用一些MIME Types 只支持以下种类

application/octet-stream — Default value for binary files
application/json — JSON format
application/pdf — Portable Document Format (.pdf)
video/ — All video/* mime types
audio/ — All audio/* mime types
image/ — All image/* mime types
font/ — All font/* mime types
text/plain — Text (.txt)
text/markdown — Markdown (.md)
application/zip — Zip archive (.zip)
application/x-bzip — Bzip archive (.bz)
application/x-rar-compressed — RAR archive (.rar)
application/x-tar — Tape archive (.tar)

6:支持的Script API

https://MyDomainName.lightning.force.com/auradocs/reference.app

这个已经不用了。

现在用这个 Salesforce DevelopersSalesforce Developer Websitehttps://developer.salesforce.com/docs/atlas.en-us.lightning.meta/lightning/ref_jsapi_intro.htm7:Locker影响哪些功能？

这么说吧，只要用Lightning功能的都受到影响。

8:Locker工具

API Viewer(查看哪些API可以使用)

Component Library

Locker Console（查看Javacript代码是否可以在Locker里使用）

Component Library

9:选择合适Locker API给自己的环境

Locker API和Compnent的API是区分开的可以设置成不一样的。

Session Settings=>Use security enhancements in API version=>Locker API

10:把某一个组件的locker功能关掉，

把Salesforce Api Version 设置成39.0或者以下,但是注意如果你的代码里使用了高版本的组件r如：lightning:map的话，你是不能把salesforce Api设置成44.0以下的。

11:不要混用Component的API

如果混用的话，有些component适用了locker，有些不适用的话，你的页面会很难Debug。（其实跑起来也没啥大事儿，毕竟运行是最低要求，连运行都做不到何谈扩展和维护）

举个例子，父组件适用了Locker（40.0以上）而子组件没有适用（39.0及以下），如果父组件里设置了个window._count变量,因为是父组件的变量并且Locker有效了，所以变量的范围是该组件名前空间的Window范围是有效的，但是因为子组件没有启用locker所以Window的范围不同，导致子组件里看不到父组件的变量声明,

父包括子的时候如果父是Locker而子不是的话，父的功能是不能影响子的。

所以最好统一API。

12:Locker需要在支持的浏览器里才会适用，如果不支持的话是无效的，

原理是Locker是需要Javascript 启用Strict模式，所以如果不支持Map，Proxy的话Locker是无效的。

第二部分：内容安全策略概览(CSP)

所有的JavaScript必须倒入到静态资源里才能被引用，script-src 'self'

所有资源必须本地化，包括ont-src, img-src, media-src, frame-src, style-src, and connect-src directives are set to 'self'

资源必须用HTTPS来引用

Inline JavaScript 不被允许，例如：<button onclick="doSomething()"></button>

在Console里可以看到违反CSP的信息，例如

Refused to load the script 'https://externaljs.docsample.com/externalLib.js' because it violates the following Content Security Policy directive: ...

严格的CSP的启用和Locker无关，不管Locker是否生效，CSP在Winter19之后都是默认生效的。

“Enable Stricter Content Security Policy

严格的CSP会影响到

Lightning Experience
Salesforce app
Standalone apps that you create (for example, myApp.app)

严格的CSP不会影响到

Salesforce Classic
Any apps for Salesforce Classic, such as Salesforce Console in Salesforce Classic
Experience Builder sites, which have their own CSP settings
Lightning Out, which allows you to run Lightning components in a container outside of Lightning apps, such as Lightning components in Visualforce and Salesforce Tabs + Visualforce sites. The container defines the CSP rules

总结来说是Lighting里创建的东西适用，Classic的不适用