Security

注意：这篇文档的部分内容只适用于 0.12 或更早的版本。0.13 或者更新版本的官方文档，请参考 http://docs.nwjs.io

node-webkit 为受信任的代码和内容增加了 Node.js 支持和 DOM 增强。就跟在浏览器中一样，对于不受信任的代码和内容，应该保持为基本的 frame 或者 iframe。因此，在 node-webkit 中有两种框架：Node 框架和 一般的框架。

作为应用开发者，内容必须以正确的框架加载，这一点必须铭记于心。

哪些框架是 Node 框架，哪些又不是呢？

1. 拥有 nwdisable 属性的 iframes 是一般的框架。(注意：nwfaketop 属性应该与 nwdisable 一起指定。原因见https://github.com/rogerwang/node-webkit/issues/534)
2. 本地文件，app protocol 框架(或者 URL 匹配了 node-remote 字段的远程站点)是 Node 框架。(这种情况下，nodejs 字段不应该被设置为 false)
3. 使用 window.open 方式打开的框架，当这些标志位被设置：new-instance = true 和 nodejs = false 时，为普通框架

Node 框架能够做什么？

1. Node 支持：可以访问 Node 中的 require, global, process, Buffer 和 root
2. 通用的访问其他框架：这可以访问所有在 DOM 中定义的跨域安全检查
3. 忽略子框架的 X-Frame-Options 头
4. 位于 Changes to DOM 的其他特点

nwdisable 新增于0.5.0 rc2, nwfaketop 新增于 0.5.1.

转载于:https://www.cnblogs.com/ksh2015/p/5695900.html