尽管 JavaScript 库 jQuery 仍被使用，但它已不再像以前那样流行。根据开源安全平台 Snyk 统计，目前至少十分之六的网站受到 jQuery XSS 漏洞的影响，甚至用于扩展 jQuery 功能的 jQuery 库还引入了更多的安全问题。

Snyk 发布了 2019 年 JavaScript 框架的状态安全报告，该报告主要是对两个领先的 JavaScript 框架(Angular 和 React)进行安全审查，但同时还调查了其他三个前端 JavaScript 生态系统项目的安全漏洞：Vue.js、Bootstrap 和 jQuery 等。

报告显示，在过去 12 个月中，jQuery 的下载次数超过 1.2 亿次，相当于 Vue.js(4000 万次)和 Bootstrap(7900 万次)加起来的下载次数。在报告中，Vue.js 被发现漏洞有四个，但已全部修复；Bootstrap 包含七个跨站点脚本(XSS)漏洞，其中有三个是在 2019 年披露的，目前没有任何安全修复或升级途径来避免；而在 jQuery 中，迄今为止被跟踪影响到所有版本的六个漏洞，其中四个属于中等级别的跨站点脚本漏洞，一个属于中等级别的原型污染漏洞(Prototype Pollution)，另一个是低级别的拒绝服务漏洞。

Snyk 报告的结论是，如果你使用 jQuery 3.4.0 以下版本，则容易遭受攻击。

而根据 W3Techs 的数据，使用 jQuery v1.x 的网站占了 84%，这导致它们存在四个中等级别的 XSS 漏洞隐患，使用 jQuery 扩展库(其中 13 个已识别漏洞)会加剧这种情况。

在 Snyk 报告中，jquery.js 是一个恶意包，过去 12 个月中被下载了 5444 次，它的严重程度与其他两个开源社区模块的恶意版本一样高（ jquery-airload 322 次下载和 github-jquery-widget 232 次下载）。

报告还列出另外三个扩展库：jquery-mobile、jquery-file-upload 和 jquery-colorbox，虽然其中包含任意代码执行和跨站点脚本安全漏洞，且没有任何升级途径可修补这些漏洞，但它们还是在过去 12 个月中总共下载了 34 万次以上。

近年来有人认为 jQuery 不再流行，而根据报道目前它仍有高下载量，原因可能如下：

  • 目前它还有大量教程、现有网站及软件等都是使用
  • jQuery 相关的插件非常丰富，很多新出的 js 框架也支持 jQuery
  • 大量的程序员用过 jQuery，熟悉它的语法和功能，后期也会继续使用

JS 框架安全报告：jQuery 下载次数超过 1.2 亿次的更多相关文章

  1. 借鉴一些关于js框架的东西

    八款Js框架介绍及比较,Dojo .Scriptaculous .Prototype .yui-ext .Jquery .Mochikit.mootools .moo.fx,componentartu ...

  2. js框架封装，模拟jQuery封装

    模拟jQuery框架,利用原生的js技术,封装一个js框架,以加深对jQuery的常用api的使用和面向对象原理的理解:一:结构部分首先利用闭包,构造一个自执行函数,然后利用选择器函数Sizzle,获 ...

  3. 媲美jQuery的JS框架——AngularJS（一）

    前言 相信原生JS大家都不陌生,至于为什么说原生,是因为在JS的基础上衍生出了很多的框架.有些框架的使用非常广泛,甚至已经达到了媲美原生的地步.在之前的文章中给大家介绍了jQuery这一介绍框架.今天 ...

  4. jQuery与别的js框架冲突

    jQuery.noConflict()运行这个函数将变量$的控制权让渡给第一个实现它的那个库. 这有助于确保jQuery不会与其他库的$对象发生冲突. <script type="te ...

  5. HBuilder支持jquery、zepto、angular、ext、dojo 等js框架的提示吗

    HBuilder有通行的js扫描分析提示,大部分js库都可以方便的提示.但js是一门超级灵活的语言,通行分析有时分析的不够完美,如果对框架做单独优化配置,可以有更好的提示.DCloud官方对jquer ...

  6. Jquery js框架使用

    jquery  众所周知 ,强大的 js框架 自己使用的一些笔记 //1.json格式定义方法 var product_obj={    check_init:function(){          ...

  7. jQuery Validate验证框架详解(jquery.validate.min.js)

    原博客 jQuery Validate验证框架详解 jQuery校验官网地址:https://jqueryvalidation.org/ 一.导入js库 <script type="t ...

  8. JS框架_(JQuery.js)绚丽的3D星空动画

    百度云盘: 传送门 密码:8ft8 绚丽的3D星空动画效果(纯CSS) (3D星空动画可以用作网页背景,Gary为文本文字) <!doctype html> <html lang=& ...

  9. 媲美jQuery的JS框架----AngularJS（二）

    前言 对于AngularJS什么,小编在这就不多做介绍了.大家可以看小编的上一篇博客. 言归正传,小编在上一篇博客中介绍了AngularJS中的指令.表达式还有非常实用的三种服务.接下来,带大家看一看 ...

随机推荐

  1. Word 插入目录的 5 种方法

    1. "运用多级编号法"之图文教程 效果图: 步骤: 首先,为了更好的演示,我们先将我们的一级标题全部选中,按住Ctrl键,去一一选择就行了. 选中一级标题后,我们进入「开始」-「 ...

  2. 防止vi粘贴时自动添加缩进的方法

    使用Xshell连接Linux服务器,使用vi打开文件进行粘贴时,会自动在行首添加很多空格,导致格式错乱.可以用如下方法剞劂 在拷贝前输入:set paste (这样的话,vim就不会启动自动缩进,而 ...

  3. docker 实践四：仓库管理

    本篇我们来了解 docker 仓库的内容. 注:环境为 CentOS7,docker 19.03 仓库(Responsitory)是集中存放镜像的地方,又分公共仓库和私有仓库. 注:有时候容易把仓库与 ...

  4. 关于arm 的字节对齐

    一.什么是字节对齐,为什么要对齐? 现代计算机中内存空间都是按照byte划分的,从理论上讲似乎对任何类型的变量的访问可以从任何地址开始,但实际情况是在访问特定类型变量的时候经常在特定的内存地址访问,这 ...

  5. springboot启动流程（十二）springboot事务自动配置

    所有文章 https://www.cnblogs.com/lay2017/p/11478237.html 正文 在上一篇文章中,我们简单了解了aop的处理过程.代理增强之前,先生成Advisor,然后 ...

  6. Vue路由嵌套

    Vue路由嵌套 <!DOCTYPE html> <html lang="en"> <head> <meta charset="U ...

  7. elment 中tree组件展开所有和收缩所有

    upAll () { // 全部展开 遍历变成true let self = this; // 将没有转换成树的原数据 let treeList = this.sourceData; for (let ...

  8. Java 面向对象（五）抽象

    一.抽象概述 1.由来 父类中的方法,被它的子类们重写,子类各自的实现都不尽相同.那么父类的方法声明和方法主体,只有声明还有意义,而方法主体则没有存在的意义了. 我们把没有方法主体的方法称为抽象方法. ...

  9. FlowPortal BPM 设置部门分管

    企业中可能会有多个副总,分别分管不同的部门,员工发起申请需要副总审批时,流程根据员工所在部门查找部门的分管副总进行审批. 比如A公司有两个副总张三和李四,张三分管行政部.市场部,李四分管研发部.采购部 ...

  10. JS 详解 Cookie、 LocalStorage 与 SessionStorage-转载

    记录一下这些知识,有时候用到会忘记,对原文作者表达感谢. 附上原文链接:JS 详解 Cookie. LocalStorage 与 SessionStorage 基本概念 Cookie Cookie 是 ...