| 风险 | 任意站点可读取 JSONP 返回的数据 |
|---|---|
| 检查 | callback 参数是否放行任意函数名与符号 |
| 修复 | 迁移到 CORS 同源方案或严格白名单 |
检查步骤
检查步骤
1. 收集接口清单中含 callback/cb/jsonp 参数的端点
2. 用自有测试页尝试跨域读取（仅读取自身账号数据）
3. 记录端点与返回数据类型
4. 不建议继续扩展 JSONP 接口修复视角：新接口不再使用 JSONP；存量接口收缩到无敏感数据场景并校验回调名。
JSONP 风险检查
JSONP 接口以回调参数包裹数据且天然跨域可读；检查是否仍存在敏感数据的 JSONP 输出与回调名校验缺失。
易错点
- 用公开数据端点测试得出“无风险”结论
- 忽略 JSONP 与登录态相乘的敏感面
数据来源与参考
- OWASP WSTG WSTG-CLNT-12
- CWE-79 相关实践