Web充斥着存在漏洞的过期JavaScript库

虽然使用第三方软件库通常会降低开发的时间，但同时也会增加网站暴露出的攻击表面，对此我们应有充分的认识。因此需要保持第三方软件库的最新版本依赖，以便从安全更新中获益。即便如此，一份近期研究表明，在Alexa排名前7.5万名的网站中，有37%的网站至少存在一处漏洞，近10%的网站至少存在两处漏洞。

除了上面提及的37%的网站易受攻击之外，研究中还给出了如下几个值得关注的结果：总体上，Web网站使用第三方软件库的版本过期情况令人惊讶。对于Alexa排名前7.5万的网站，在用软件库与最新版本软件库之间的平均拖后时间是1177天（三年以上）。通常，包含存在漏洞的软件库的问题是由外部组件所致，例如广告、跟踪或社会媒体挂件等。另一个风险因素来自于对软件库的重复包含，从漏洞的角度看，这为不确定行为提供了空间。