在探讨单页应用（SPA）的测试方法之前，我们不妨先将其与传统的多页面应用（MPA）进行简单对比，这有助于理解SPA的独特架构及其带来的安全考量。
多页面应用 (MPA) 特点：
- 页面切换：每次跳转都伴随整个页面的刷新。
- 性能表现：由于每次请求都需要加载完整的HTML、CSS和JS，通常感觉较慢。
- SEO友好度：页面内容直接由服务端渲染，易于被搜索引擎抓取和索引。
单页应用 (SPA) 特点：
- 页面切换：通过JavaScript动态替换页面内容，无需整体刷新，用户体验流畅。
- 性能表现：首次加载后，后续交互响应迅速。
- 资源加载：首次访问通常需要加载所有或大部分资源文件（如JS Bundle）。
- 优化手段：可通过代码分割、懒加载等技术缓解首次加载过慢的问题。
- SEO友好度：由于内容主要由客户端JavaScript渲染，对传统搜索引擎的抓取不太友好。
- 开发便利：更贴近移动端或桌面应用的开发模式，前后端分离清晰。
对于非开发者而言，可以记住一个简单的识别方式：使用Vue.js、React或Angular等现代前端框架构建的应用，基本都属于单页应用。
那么，针对SPA，我们可以从哪些安全角度入手进行测试呢？
1. API接口测试
这是SPA安全测试的基石。由于SPA通过API（通常是RESTful或GraphQL接口）与后端交互数据，因此所有针对API的安全测试方法都适用，包括但不限于：
2. 客户端漏洞测试 (DOM XSS)
这是SPA特有的高风险漏洞点。SPA大量操作DOM来更新视图，如果对用户输入处理不当，极易引发DOM型XSS。
- 测试思路：重点关注那些将用户可控数据直接写入页面的JavaScript函数或属性，例如：
window.location (URL操作)element.innerHTMLdocument.write
- 测试方法：可以系统性地搜索源代码或审查网络请求与响应，寻找上述危险函数的调用点，并尝试注入Payload。
关于DOM XSS更详细的挖掘思路与方法，可参考之前发布的DOM XSS相关文章。这部分内容后续还会继续补充和更新。
3. 认证与授权漏洞 (CSRF)
这一点需要特别注意。一个常见的误解是，采用前后端分离的SPA天然能防御CSRF。事实并非如此。
- 风险点：如果SPA在身份认证时仅依赖Cookie（例如Session Cookie），而没有使用Bearer Token、双重提交Cookie等现代防护机制，那么它依然可能受到CSRF攻击。
- 原理：浏览器会自动在跨域请求中携带Cookie，攻击者可以诱导用户访问恶意页面，该页面自动向目标SPA的API发起请求，由于Cookie存在，请求会被后端视为合法用户操作。
这一点在早期文章中也有过讨论，详情可参见关于CSRF的探讨。对于现代的软件测试流程，CSRF防护是必须检查的一环。
总结来说，测试SPA应用时，需要结合其架构特点，在常规的API测试之外，着重关注客户端脚本安全（DOM XSS）和依赖Cookie的认证机制可能带来的CSRF风险。建立系统化的测试模型，才能更有效地发现潜在漏洞。 | 
发表于 3 天前
|
查看: 11|
回复: 0
