自从Chrome 69版本开始，Google Chrome浏览器地址栏默认隐藏了URL中的子域名部分，例如：将"www.example.com"显示为"example.com"。这样做的目的是为了提高用户体验和简化用户界面，但这也引发了一个安全隐患。
安全问题
攻击者可以利用这个缺陷去欺骗用户访问恶意网站。例如，攻击者可以使用类似的恶意URL：http://www.paypal.cоm.evil.com，它看起来像是PayPal网站的URL，但实际上它是指向恶意站点的URL。由于Chrome 69版本地址栏默认隐藏了URL中的子域名部分，所以恶意网站的URL看起来就像是这样：http://paypal.com。
此外，攻击者还可以利用这个Bug来进行水坑攻击（phishing attacks）。攻击者可以将一个合法网站的页面嵌入到他们自己的不良网站中，并使用隐藏的子域名来让用户误认为他们正在浏览合法网站。这使得用户更容易被欺骗，泄露敏感信息或下载恶意软件。
指导意义
为了解决这个问题，我们应该在代码中使用绝对URL而不是相对URL。绝对URL将明确指定主机名和子域名，从而避免了Chrome隐藏子域名的缺陷。例如：
-- ---------------------------------------------------
在这个例子中，我们使用完整的URL（包括"http://"）来指定链接的目标，以确保显示了完整的域名。
此外，网站管理员应该提高用户的安全意识，告知他们如何辨别恶意网站和警惕水坑攻击。浏览器厂商也应该考虑对地址栏隐藏子域名功能进行优化和改进，加强用户体验的同时不影响网站的安全性。
结论
Google Chrome 69地址栏隐藏子域名后暴露的安全问题可能会导致用户被欺骗访问恶意网站和泄漏敏感信息的风险。为了避免这种情况，我们应该在代码中使用绝对URL并提高用户的安全意识。浏览器厂商应该考虑改进地址栏隐藏子域名的功能，以保证用户体验的同时增强网站的安全性。
来源：JavaScript中文网 ，转载请联系管理员！ 本文地址：https://www.javascriptcn.com/post/39843