Freecodecamp: يعرض Chrome رسالة خطأ في iframe - تم اكتشاف رمز غير عادي

تم إنشاؤها على ٤ مارس ٢٠١٧ · 72تعليقات · مصدر: freeCodeCamp/freeCodeCamp

تحديث

الرجاء استخدام Firefox أثناء التوصل إلى حل. نعتذر عن الإزعاج.

التحدي إضافة زر إرسال إلى نموذج به مشكلة.
وكيل المستخدم هو: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) <strong i="11">Chrome/57.0.2987.88</strong> Safari/537.36 .

_ الوصف حرره systimotic للتوضيح_
يوجد تحذير معروض في إطار الهاتف. تقول: "اكتشف Chrome رمزًا غير عادي في هذه الصفحة وحظره لحماية معلوماتك الشخصية (على سبيل المثال ، كلمات المرور وأرقام الهواتف وبطاقات الائتمان)."

screenshot

الشفرة:


<link href="https://fonts.googleapis.com/css?family=Lobster" rel="stylesheet" type="text/css">
<style>
  .red-text {
    color: red;
  }

  h2 {
    font-family: Lobster, Monospace;
  }

  p {
    font-size: 16px;
    font-family: Monospace;
  }

  .thick-green-border {
    border-color: green;
    border-width: 10px;
    border-style: solid;
    border-radius: 50%;
  }

  .smaller-image {
    width: 100px;
  }
</style>

<h2 class="red-text">CatPhotoApp</h2>

<p>Click here for <a href="#">cat photos</a>.</p>

<a href="#"><img class="smaller-image thick-green-border" alt="A cute orange cat lying on its back. " src="https://bit.ly/fcc-relaxing-cat"></a>

<p>Things cats love:</p>
<ul>
  <li>cat nip</li>
  <li>laser pointers</li>
  <li>lasagna</li>
</ul>
<p>Top 3 things cats hate:</p>
<ol>
  <li>flea treatment</li>
  <li>thunder</li>
  <li>other cats</li>
</ol>
<form action="/submit">

</form>
<form action="/submit-cat-photo">
  <input type="text" placeholder="cat photo URL">
</form>

مصدر

natuan62

👍4 😕1

التعليق الأكثر فائدة

يمكنني إعادة إنتاج هذا باستخدام Chrome 57 ، سواء في الإصدار التجريبي أو الموقع المباشر.

الإصدار الذي يمكن إعادة إنتاج هذا فيه هو 57.0.2987.88. من مدونة إصدارات Chrome ، في 9 آذار (مارس):

يسر فريق Chrome الإعلان عن ترقية Chrome 57 إلى القناة الثابتة - 57.0.2987.98 لنظام التشغيل Windows و Mac و Linux. سيتم طرح هذا خلال الأيام / الأسابيع القادمة.

الخطأ:

حظر XSS Auditor الوصول إلى ' https://www.freecodecamp.com/challenges/add-a-submit-button-to-a-form# ؟ solution = solution-here' لأنه تم العثور على شفرة المصدر للبرنامج النصي داخل الطلب. تم تمكين المدقق لأن الخادم لم يرسل رأس حماية X-XSS.

يشير هذا إلى أن الخطأ الذي نراه ناتج بالفعل عن الوظيفة التي تم تمكينها في Chrome 57.

يبدو أنه تم تشغيل التحذير من خلال وجود نموذج في إطار iframe.
إليك منشور StackOverflow مع اقتراح حول كيفية حل هذا.

لقد اختبرت كيف يتعامل Codepen مع هذا. إنها تعمل بشكل جيد هناك. بعض الاختلافات الملحوظة:

X-Frame-Options هي ALLOWALL على Codepen ، SAMEORIGIN على fCC. أعتقد أنه من غير المحتمل أن يكون هذا هو السبب ، لكن قد يكون له صلة.
X-XSS-Protection هي 1; mode=block على لجنة الاتصالات الفدرالية ، ولكنها غير موجودة على Codepen. أعتقد أن هذا هو السبب في أنها تعمل على Codepen ولكن ليس على FCC.

/ cc @ freeCodeCamp / moderators يبدو أنه من المحتمل أن يصبح مشكلة خطيرة جدًا بالنسبة لنا ، لكنني لست متأكدًا. يمكن لأي شخص أن يساعد في التحقيق؟

systimotic في ١٢ مارس ٢٠١٧

👍4

ال 72 كومينتر

@ leekirby6 شكرا على هذه القضية. هل يمكنك تقديم مزيد من المعلومات حول مكان ظهور هذا الإشعار؟ قد تساعد لقطة الشاشة أيضًا إذا كنت قادرًا على توفير واحدة. لا أحصل على أي إشعار من Chrome عندما أفتح الصفحة. شكر!

erictleung في ٤ مارس ٢٠١٧

👍1

أوه ، لقد نسيت لقطة الشاشة.
freecodecamp-error
لا شيء يحدث عندما أستخدم Firefox.

natuan62 في ٤ مارس ٢٠١٧

قد يكون مرتبطًا بـ Chrome Beta. انظر # 12655. إنه يعمل بشكل جيد بالنسبة لي مع Chrome المستقر. @ leekirby6 هل يمكنك تجربته باستخدام مستقر Chrome؟

szib في ٤ مارس ٢٠١٧

👍1

شكرا على الاعتماد. أفضل الإصدار التجريبي من الإصدار الثابت:
لقد استخدمت Firefox!

natuan62 في ٤ مارس ٢٠١٧

هل هذا الخطأ مؤشر على أن المخيمين سيرون هذا في إصدار مستقبلي من Chrome؟ إذا كان الأمر كذلك ، فمن المحتمل أن نتأكد من إصلاح ذلك قبل الإصدار.

systimotic في ٥ مارس ٢٠١٧

يمكنني إعادة إنتاج هذا باستخدام Chrome 57 ، سواء في الإصدار التجريبي أو الموقع المباشر.

الإصدار الذي يمكن إعادة إنتاج هذا فيه هو 57.0.2987.88. من مدونة إصدارات Chrome ، في 9 آذار (مارس):

يسر فريق Chrome الإعلان عن ترقية Chrome 57 إلى القناة الثابتة - 57.0.2987.98 لنظام التشغيل Windows و Mac و Linux. سيتم طرح هذا خلال الأيام / الأسابيع القادمة.

الخطأ:

حظر XSS Auditor الوصول إلى ' https://www.freecodecamp.com/challenges/add-a-submit-button-to-a-form# ؟ solution = solution-here' لأنه تم العثور على شفرة المصدر للبرنامج النصي داخل الطلب. تم تمكين المدقق لأن الخادم لم يرسل رأس حماية X-XSS.

يشير هذا إلى أن الخطأ الذي نراه ناتج بالفعل عن الوظيفة التي تم تمكينها في Chrome 57.

يبدو أنه تم تشغيل التحذير من خلال وجود نموذج في إطار iframe.
إليك منشور StackOverflow مع اقتراح حول كيفية حل هذا.

لقد اختبرت كيف يتعامل Codepen مع هذا. إنها تعمل بشكل جيد هناك. بعض الاختلافات الملحوظة:

X-Frame-Options هي ALLOWALL على Codepen ، SAMEORIGIN على fCC. أعتقد أنه من غير المحتمل أن يكون هذا هو السبب ، لكن قد يكون له صلة.
X-XSS-Protection هي 1; mode=block على لجنة الاتصالات الفدرالية ، ولكنها غير موجودة على Codepen. أعتقد أن هذا هو السبب في أنها تعمل على Codepen ولكن ليس على FCC.

systimotic في ١٢ مارس ٢٠١٧

👍4

systimotic شكرًا لجذب انتباه الجميع. نعم - هذه قضية خطيرة. إذا أطلقت Google هذا التحديث ، فسوف تكسر تمامًا تحدياتنا. لذلك نحن بحاجة إلى إصلاح هذا في أسرع وقت ممكن.

هل تمكنت من إحراز أي تقدم في هذا؟

BerkeleyTrue ، هل هذا شيء يمكنك إصلاحه ونشره في الإنتاج بسرعة حقيقية ، أم أنك تفكر في تفويض ذلك؟

QuincyLarson في ١٣ مارس ٢٠١٧

يوم الإثنين ، 13 مارس 2017 ، الساعة 6:44 مساءً ، Quincy Larson [email protected]
كتب:

systimotic https://github.com/systimotic شكرا لجلب هذا إلى
انتباه الجميع. نعم - هذه قضية خطيرة. إذا طرح Google
هذا التحديث ، سوف يكسر تحدياتنا تمامًا. لذلك نحن بحاجة إلى الإصلاح
هذا في اسرع وقت ممكن.
هل تمكنت من إحراز أي تقدم في هذا؟
BerkeleyTrue https://github.com/BerkeleyTrue هذا شيء أنت
يمكن إصلاحه ونشره في الإنتاج بسرعة حقيقية ، أو هل لديك شخص ما
مانع لتفويض هذا؟
-
أنت تتلقى هذا لأنك مشترك في هذا الموضوع.
قم بالرد على هذا البريد الإلكتروني مباشرة ، وقم بعرضه على GitHub
https://github.com/freeCodeCamp/freeCodeCamp/issues/13727#issuecomment-286147082 ،
أو كتم الخيط
https://github.com/notifications/unsubscribe-auth/AX9USGhYYpx9VbE14GEjc5ELIWUePYCaks5rlWRggaJpZM4MS57P
.

iansibindi في ١٣ مارس ٢٠١٧

لدي فكرة ، سأرفع العلاقات العامة ضد النسخ الاحتياطي / الماجستير إذا نجحت نظريتي.

إذا نجحت ، يمكنني حينئذٍ أن أقوم بتثبيتها على الإطلاق

Bouncey في ١٣ مارس ٢٠١٧

لكن من فضلك ، إذا كان لدى شخص آخر فكرة ، فابدأ في العمل عليها

هذا يبدو وكأنه قضية حرجة

Bouncey في ١٣ مارس ٢٠١٧

QuincyLarsonsystimoticBouncey تبحث في ذلك، (وفقا لtimo رابط الصورة) كروم هو تغيير السلوك الافتراضي X-XSS-Protection: 1 إلى X-XSS-Protection: 1; mode=block . ما يفعله هذا هو منع الصفحة بالكامل من العمل عندما تكون شفرة المصدر للصفحة ضمن الطلب نفسه (أي عنوان url للصفحة).

في السابق ، كان السلوك الافتراضي للكروم هو تصفية أجزاء النص التي يمكن اعتبارها ضارة. لقد تجاوزنا هذا الأمر عن طريق ترميز الأجزاء المحددة التي قد يشتكي منها الكروم (إجراءات النموذج وما شابه) ثم فك تشفيرها قبل الحقن في إطار iframe.

الآن السلوك الافتراضي سيؤدي إلى حظر الصفحة تمامًا. هذا هو سبب المشكلة (على ما أعتقد).

لقد قمت بتنزيل Chrome canary و ~ لم أتمكن من تكرار المشكلة (وهي في الإصدار 59) ~ تمكنت من نسخها عن طريق إضافة علامة البرنامج النصي إلى code-uri.

BerkeleyTrue في ١٣ مارس ٢٠١٧

قد يكون الإصلاح بسيطًا مثل تغيير X-XSS-PROTECTION إلى 1 ؛

BerkeleyTrue في ١٣ مارس ٢٠١٧

لا يمكنني التكرار في الإصدار التجريبي ، لكن يمكنني إنتاجه

Chrome 57 هو الآن "الكروم الثابت" لـ Ubuntu

Bouncey في ١٣ مارس ٢٠١٧

لا يمكنني إعادة الإنتاج محليًا على نسخة احتياطية / رئيسية

Bouncey في ١٣ مارس ٢٠١٧

حاول إعادة النشر ، عبر التحكم في الخادم ، بعض أكواد html وجافا سكريبت إلى الخادم وسترى المشكلة.

1cm في ١٦ مارس ٢٠١٧

حدث لي في إصدار Chrome 57.0.2987.110 (64 بت) Win10 64bit

driftshift في ٢٠ مارس ٢٠١٧

اهلا جميعا،

الرجاء مساعدتي في فهم هذا بشكل أفضل.

أنا محلل أعمال في شركة برمجيات. نواجه مشكلة أنه بعد تحديث Chrome 57.0.2987.98 حصلنا على الخطأ "هذه الصفحة لا تعمل اكتشف Chrome رمزًا غير عادي في هذه الصفحة وحظره لحماية معلوماتك الشخصية (على سبيل المثال ، كلمات المرور وأرقام الهواتف وبطاقات الائتمان) . ERR_BLOCKED_BY_XSS_AUDITOR "- ما تناقشه هنا بشكل أساسي.

ستكون أسئلتي:

هل هو خلل أو ميزة؟
إذا كان خطأ - أين يمكنني الحصول على المعلومات عندما يتم إصلاحه؟

لدينا عدد من العملاء الذين يعانون من هذا الخطأ ونحتاج إلى فهم ما إذا كان علينا انتظار إصلاح Chrome أو تنفيذ الإصلاح من جانبنا.

dimapct في ٢١ مارس ٢٠١٧

dimapct هذا مستودع FreeCodeCamp.com ليس لمتصفح Chrome. يرجى توجيه أسئلتك المتعلقة ببرنامج عملك والكروم إلى فريق Chrome ، وليس إلينا.

BerkeleyTrue في ٢١ مارس ٢٠١٧

تضمين التغريدة
إعدادات Chrome> الإعدادات المتقدمة> الحماية من المواقع الخطرة> إيقاف التشغيل
عملت معي لبعض الوقت

udbhavs في ٢٢ مارس ٢٠١٧

👍1

لقد صادفت للتو تقرير الخطأ هذا. أتساءل عما إذا كانت تجربتي قد تلقي بعض الضوء على هذا.

عندما أكتب منشورًا على

لقد حاولت أن أجد نمطًا ، لكنه يبدو عشوائيًا تمامًا ؛ يمكنني كتابة بعض الصيغ ، التي يقبلها Chrome ، والصيغ الأخرى ، التي لا يقبلها ، ولا أرى فرقًا كبيرًا بينهما. على سبيل المثال ، في بعض الأحيان يحظر Chrome منشورًا بعلامات اقتباس ، وأحيانًا لا يحظر ذلك.

أستخدم Chrome 57 Stable (من مستودعات Chrome الرسمية) على Linux Ubuntu.

( سأتبنى الاقتراح QuincyLarson في الوقت الحالي ، على الرغم من أنه من المتوتر بعض الشيء لإيقافه!)

paddylandau في ٢٧ مارس ٢٠١٧

للأسف ، الحل المقترح من QuincyLarson لم يعمل معي.

ومع ذلك ، هناك المزيد من المعلومات ، والتي آمل أن تكون مفيدة:

https://bugs.chromium.org/p/chromium/issues/detail؟id=702542
https://bugs.chromium.org/p/chromium/issues/detail؟id=706038
https://productforums.google.com/forum/#!msg/chrome/4MUJd75N4Jw/8uDOUMgrEQAJ

paddylandau في ٤ أبريل ٢٠١٧

paddylandau شكرا.

يبدو أنه تم حل المشكلة عن طريق إضافة رؤوس حماية x-xss بشكل صريح إلى csp الخاص بنا. أي شخص لديه بعض الوقت لاختبار هذا؟

BerkeleyTrue في ٤ أبريل ٢٠١٧

تكمن مشكلة إضافة هذا العنوان في أنه يعني تقليل الأمان ، من أجل Chrome. هذا يبدو غريبا بالنسبة لي.

paddylandau في ٥ أبريل ٢٠١٧

في الواقع ، إذا قمت بتعيين العنوان على 1 ، فأنت بذلك تحافظ على الأمان كما هو وتمنع Chrome v57 من زيادة الأمان. الاختلاف الحقيقي الوحيد هو أن v57 يحظر بشكل صاخب بعض التعليمات البرمجية التي تمنعها v56 والمتصفحات الأخرى بصمت حتى الآن.

darkporpoise في ٥ أبريل ٢٠١٧

ما زلت أواجه هذه المشكلة :(

nvnellore في ٧ أبريل ٢٠١٧

ما زلت أواجه هذه المشكلة في "إنشاء عنصر نموذج".

Rogerup في ١٠ أبريل ٢٠١٧

الشيء المثير للاهتمام فيما يتعلق بهذه المشكلة هو عندما تكمل الدرس على متصفح مختلف والعودة إلى Chrome و "عرض الحل" لذلك الدرس ، يقرأ الرمز بدون أخطاء ويمكنك المتابعة مع الدرس التالي. أي أفكار؟

UnwrittenCanvas في ١١ أبريل ٢٠١٧

في 10 نيسان (أبريل) 2017 الساعة 10:21 صباحًا ، تلقيت "Rogerio Penchel" [email protected]
كتب:

ما زلت أواجه هذه المشكلة :(

-
أنت تتلقى هذا لأنك مشترك في هذا الموضوع.
قم بالرد على هذا البريد الإلكتروني مباشرة ، وقم بعرضه على GitHub
https://github.com/freeCodeCamp/freeCodeCamp/issues/13727#issuecomment-293018041 ،
أو كتم الخيط
https://github.com/notifications/unsubscribe-auth/AV-9X3RBc4-MBzYNChdMp0_uZrywTADUks5rumUPgaJpZM4MS57P
.

Lurches في ١١ أبريل ٢٠١٧

قمت بتشغيل هذا في Firefox وليس لدي مشاكل

nvnellore في ١١ أبريل ٢٠١٧

nvnellore ينطبق هذا فقط على Chromium و Chrome بالتبعية. لا يوجد متصفح آخر يعطي هذه المشكلة.

paddylandau في ١١ أبريل ٢٠١٧

لقد رأيت هذا ERR_BLOCKED_BY_XSS_AUDITOR عندما أضيف محتوى بامتدادبطاقة شعار.<br/> بشكل أساسي ، إذا كان المحتوى يحتوي على youtube مضمن ، فستحصل على ERR_BLOCKED_BY_XSS_AUDITOR.<br/> لا يحدث ذلك في IE. لا يحدث ذلك إذا قمت بإزالة المحتوى بالإطار.