隐秘的“脚本错误”。在Chrome和Firefox中以Javascript报告

卫才哲

2023-03-14

问题内容：

我有一个脚本，该脚本可以在我的网站上检测Javascript错误并将其发送到我的后端进行报告。它报告遇到的第一个错误，假定的行号和时间。

编辑以包含doctype：

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en" lang="en" xmlns:fb="http://www.facebook.com/2008/fbml">

…

<script type="text/javascript">
//<![CDATA[
// for debugging javascript!
(function(window){
    window.onerror = function(msg, url, ln) {
        //transform errors
        if (typeof(msg) === 'object' && msg.srcElement && msg.target) {
            if(msg.srcElement == '[object HTMLScriptElement]' && msg.target == '[object HTMLScriptElement]'){
                msg = 'Error loading script';
            }else{
                msg = 'Event Error - target:' + msg.target + ' srcElement:' + msg.srcElement;
            }
        }

        msg = msg.toString();

        //ignore errors
        if(msg.indexOf("Location.toString") > -1){
            return;
        }
        if(msg.indexOf("Error loading script") > -1){
            return;
        }

        //report errors
        window.onerror = function(){};
        (new Image()).src = "/jserror.php?msg=" + encodeURIComponent(msg) + "&url=" + encodeURIComponent(url || document.location.toString().replace(/#.*$/, "")) + "&ln=" + parseInt(ln || 0) + "&r=" + (+new Date());
    };
})(window);
//]]>
</script>

由于有了这个脚本，我很清楚自己的网站上发生的任何JavaScript错误。 最大的违规者之一是“脚本错误”。 在Chrome
10以上版本和Firefox 3以上版本中， 位于第0行 。此错误在Internet Explorer中不存在（或可能称为其他错误？）。

更正（5/23/2013）：现在，
此“脚本错误，第0行”错误正在IE7和其他版本的IE中显示。可能是由于最近的IE安全修补程序引起的，因为以前没有此行为。

有谁知道这个错误是什么意思或者是什么原因导致的？它发生在我的总页面加载量的0.25％左右，占报告的错误的一半。

问题答案：

“脚本错误”。当异常违反了浏览器的同源策略时，即在错误发生在Firefox，Safari和Chrome中时，即当错误发生在托管于当前页面域之外的域中的脚本中时。

此行为是有意的，以防止脚本将信息泄漏到外部域。有关为何有此必要的示例，请想象一下意外访问evilsite.com，其中包含的页面<script src="yourbank.com/index.html">。（是的，我们将脚本标记指向html而不是JS）。这将导致脚本错误，但是该错误很有趣，因为它可以告诉我们是否已登录。如果您已登录，则错误可能是'Welcome Fred...' is undefined，而如果您未登录，则可能是'Please Login ...' is undefined。遵循这些原则。

如果evilsite.com是针对排名前20位的银行机构这样做的，那么他们会非常了解您访问的银行站点，并且可以提供更具针对性的网络钓鱼页面。（当然，这只是一个例子。但是它说明了为什么浏览器不应允许
任何数据跨越域边界。）

我已经在Safari，Chrome和Firefox的最新版本中对此进行了测试-他们都这样做。IE9不会-
它将x起源异常与同起源异常相同。（而且Opera不支持onerror。）

从马口说起：在将异常传递给onerror（）时检查来源的WebKit源。并检查Firefox源。

更新（10/21/11）
：跟踪此问题的Firefox错误包括指向启发此行为的博客文章的链接。

UPDATE（12/2/14）
：现在，您可以通过在脚本标签上指定crossorigin属性，并让服务器发送适当的CORS HTTP响应标头，在某些浏览器上启用完整的跨域错误报告。

隐秘的“脚本错误”。在Chrome和Firefox中以Javascript报告

相关阅读

相关文章

相关问答

相关工具

相关文档