垃圾邮件可以看到/使用 javascript 吗？答案

【问题标题】：Can spams see/use javascript?垃圾邮件可以看到/使用 javascript 吗？
【发布时间】：2017-06-07 06:01:22
【问题描述】：

我的问题很明显。垃圾邮件（我的意思是博客垃圾邮件）可以在我的网站上使用 javascript 吗？

例如，“Laravel”需要表单上的 csrf 代码。如果我将 csrf 代码作为 javascript 变量传递并使用 jquery append 方法将代码附加到表单中，垃圾邮件是否能够提交表单？

【问题讨论】：

spam 是什么意思？如果你是网站所有者，那么要么是你的博客的广告，要么可能是一些 XSS 攻击。后者有恶意行为，但你对前者很安全。还要确保所有垃圾邮件都不是 XSS。
@georoot 我对垃圾邮件了解不多。我正在开发一个 cms，用户可以在其中注册和发布博客、评论等。我知道有这么多垃圾邮件注册和发布博客的社交网络脚本（正如你提到的那样，这是一个广告）。有时甚至验证码也无法阻止它们。我只是不希望我的脚本允许这样的垃圾邮件。
好的，你指的基本上是机器人。除了杂乱的内容和no 他们无法访问您的 js，除非您没有针对脚本小子最常见的攻击媒介 XSS 进行保护，否则它们对您的网站并没有任何影响。
垃圾邮件通常是一段文字。据我所知，广告文本没有眼睛或内置解析器。我认为您的意思是垃圾邮件机器人:)
最后，您可以创建一个人工智能驱动的 kiborg，它本身使用合法机器上的合法浏览器来到处传播垃圾邮件。不太可能？当然可以，但并非不可能。与常规垃圾邮件机器人相同：一些能够评估 JavaScript，但不是全部。

【解决方案1】：

所以，我们公司一直在为网站开发反垃圾邮件，我可以说很多垃圾邮件机器人（大约 30%）能够使用 javascript。

【讨论】：

【解决方案2】：

当然，由于源代码在客户端，他们可以运行它，在运行之前对其进行修改，或者对其进行逆向工程并直接使用所需的值填充表单字段。这就是为什么任何垃圾邮件保护机制总是需要服务器端的原因。否则你只会让它更难破解......也就是说，想想结果是否值得努力对你的垃圾邮件保护进行逆向工程。

【讨论】：