有扇贝 shanbay 的老哥吗

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

工单节点使用指南

• 请用平和的语言准确描述你所遇到的问题

• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的

• 如果是关于 V2EX 本身的问题反馈，请使用反馈节点

这是一个创建于 2673 天前的主题，其中的信息可能已经有所发展或是发生改变。

你们扇贝单词这个产品的 Web 前端，自建例句是可以直接写 HTML 和 JS 的啊，从前端到后端都没转义，直接就扔数据库里了

如果用户写 JS 有问题，下次到这个单词 JS 解释器直接就抛异常，页面就白屏了

这还算好的，如果自建例句被选为共享例句（如果有这个可能的话 - 因为似乎并不是每一句都是人工筛选的，个人猜测很可能是选一批用户例句就共享给所有人了），那就是直接给用户发送恶意 JS 啊

（自建笔记还没测试，请通知相关人员也检查一下）

例句

扇贝

单词

白屏了

19 条回复 • 2017-09-04 10:39:04 +08:00

lucybenz

2017-09-03 07:18:52 +08:00

围观

karia

2017-09-03 07:55:21 +08:00

还有我想知道贵司有没有专门的产品论坛啊，在[感觉到处都是小朋友的扇贝单词的使用答疑论坛]( https://www.shanbay.com/forum/uses/#p1)发 Feature Request 和 Issue 感觉无比奇异

karia

2017-09-03 08:16:52 +08:00 via Android

亏了，我应该起个更震惊的标题

ctsed

2017-09-03 08:47:47 +08:00 via Android

有 xss 注入

stillsilly

2017-09-03 09:06:05 +08:00 via iPhone

厉害了

kindjeff

2017-09-03 09:08:21 +08:00

正好周末……

已经截图发公司群里了。你也可以直接随便打开个扇贝的 APP 然后提反馈，反馈是会被看见的。

karia

2017-09-03 09:26:08 +08:00

@kindjeff 顺便我已经往自己的 rapacious 这个词的自建例句里插了段不能跑的 JS，现在用 web 端一到这个单词 JS 就挂了，该怎么处理？
从 URL 来看，我的 UID 应该是 49445620，还有一个应该是 local 到用户的单词唯一索引 52674544009

karia

2017-09-03 09:36:51 +08:00

@kindjeff 反馈了，希望会尽快处理吧

Cavolo

2017-09-03 09:59:11 +08:00 via iPhone

@karia 不要在他的小朋友论坛上汇报，bug 反馈那里我以前提交过会有人回复

xiawinter

2017-09-03 11:07:04 +08:00

@karia 已经 fixed 了，这个 bug 持续了一段时间了，非常感谢。你的句子我已经删掉了，应该可以继续使用了。

xiawinter

2017-09-03 11:07:32 +08:00

笔记我们测试过，应该是安全的。

karia

2017-09-03 11:38:24 +08:00

@xiawinter 不客气

qfdk

2017-09-03 16:18:07 +08:00 via iPhone

围观搞事情大佬其实不说可以走一波广告的

AltairT

2017-09-03 17:08:16 +08:00 via iPhone

web 端……大佬上班抽空带薪背单词吗？😂

karia

2017-09-03 17:40:04 +08:00 via Android

@AltairT 咱还在读本科...👻
@qfdk 哈哈算了本来就没这个打算，他们家的共享例句还是要审核的(而且感觉很久没审核新的了)，暂时不会影响到所有用户

ccxxs

2017-09-03 20:01:50 +08:00

@xiawinter 首页的加入我们也有问题

jedihy

2017-09-04 05:10:54 +08:00

@karia rapacious 这次好生僻

xiawinter

2017-09-04 09:14:08 +08:00

@ccxxs 不是跳去了拉钩么？

ccxxs

2017-09-04 10:39:04 +08:00

@xiawinter 跳到企业版开通招聘服务