javascript的分阶段信息流

现代网站由JavaScript提供支持，JavaScript是一种在客户端浏览器中执行的灵活的动态脚本语言。此类网站中的一个常见范例是以库或广告的形式包含第三方JavaScript代码。如果此代码是恶意的，它可以从页面读取敏感信息或写入位置栏，从而将用户重定向到恶意页面，从而危及整个机器。我们提出了一种基于信息流的方法来推断JavaScript对网站的影响，以确保关键安全属性不被侵犯。为了处理动态加载和生成的JavaScript，我们提出了一个用于暂存信息流属性的框架。我们的框架通过当前已知的代码传播信息流，以便计算在动态加载剩余代码时对其执行的最小语法剩余检查集。我们已经实现了一个用于暂存信息流的原型框架。我们描述了我们处理JavaScript一些困难功能的技术，并评估了我们的系统在各种大型现实世界网站上的性能。我们的实验表明，静态信息流对于JavaScript来说是可行和有效的，并且我们的技术允许在几乎没有运行时开销的情况下执行信息流策略。