Pourquoi dois-je voir un “Électron " Avertissement de Sécurité” après la mise à jour de mon projet Electron à la dernière version?

Vous rencontrez cette:

Électron Avertissement De Sécurité
Ce convertisseur processus a Node.js l'intégration activé et
tentative de chargement d'un contenu distant. Cela expose les utilisateurs de cette application à de graves risques de sécurité.

Car à partir de la 2ème Recommandations de Sécurité de D'Électrons De La Documentation

2) Désactiver Node.js Intégration de Contenu à Distance

Il est primordial que vous désactivez Node.js intégration dans tout moteur de rendu (BrowserWindow, BrowserView, ou WebView) qui charge le contenu distant. L'objectif est de limiter les pouvoirs d'accorder à distance le contenu, les rendant ainsi beaucoup plus difficile pour un attaquant de nuire à vos utilisateurs doivent-ils acquérir la capacité à exécuter le code JavaScript sur votre site web.

Après cela, vous pouvez accorder des autorisations supplémentaires pour les hôtes spécifiques. Par exemple, si vous ouvrez un BrowserWindow a souligné "https://my-website.com/", vous pouvez le donner exactement les capacités dont il a besoin, mais pas plus.

Pourquoi?

Cross-site-scripting (XSS) attaque est plus dangereux qu'un attaquant peut sauter hors de l'convertisseur de processus et d'exécuter du code sur l'ordinateur de l'utilisateur. Cross-site-scripting attaques sont assez communs - et tout un problème, leur puissance est généralement limitée à déconner avec le site web qu'ils sont exécutés. La désactivation de Node.js l'intégration permet d'empêcher un XSS d'être passée dans une soi-disant "Exécution de Code à Distance" (RCE) attaque.
Comment?

//Bad
const mainWindow = new BrowserWindow()
mainWindow.loadURL('https://my-website.com')

//Good
const mainWindow = new BrowserWindow({
  webPreferences: {
    nodeIntegration: false,
    preload: './preload.js'
  }
})

mainWindow.loadURL('https://my-website.com')

---

<!-- Bad -->
<webview nodeIntegration src="page.html"></webview>

<!-- Good -->
<webview src="page.html"></webview>

Lors de la désactivation de Node.js l'intégration, vous pouvez toujours exposer Api à votre site web qui ne consomment Node.js des modules ou des fonctionnalités. Précharger les scripts de continuer à avoir accès à exiger et d'autres Node.js fonctionnalités, permettant aux développeurs d'exposer une API à distance le contenu chargé.

Dans l'exemple suivant précharge du script, le chargé ensuite site auront accès à un window.readConfig() méthode, mais pas de Node.js caractéristiques.

const { readFileSync } = require('fs')

window.readConfig = function () {
  const data = readFileSync('./config.json')
  return data
}

Donc vous avez été averti de sorte que vous pouvez Désactiver Node.js Intégration de Contenu Distant.

J'espère que cela permet de répondre à votre question.

OriginalL'auteur antzshrek

De Electron 2.0, les développeurs vont voir mises en garde et recommandations imprimé à la console développeur. Ils montrent seulement lorsque le binaire est le nom de l'Électron, indiquant qu'un développeur est actuellement à la recherche au niveau de la console.

Je vous suggère de suivre les Électrons officiel Recommandations de Sécurité liste de contrôle pour éviter ces avertissements https://github.com/electron/electron/blob/master/docs/tutorial/security.md

OriginalL'auteur JerryGoyal

TLDR: Désactiver la fonction eval() dans votre BrowserWindow options.

Je suis juste allé à travers ce processus sur le dernier électron, vue etc. et la solution est de désactiver eval() qui peut être un risque de sécurité dues à l'exécution de code qui n'est pas de vous (ou de votre application).

Ajouter le allowEval: false à votre webPreferences lors de la création de fenêtre pour éviter l'avertissement proprement:

const win = new electron.BrowserWindow({
    webPreferences: {
        allowEval: false //This is the key!
    }
});

Quelques informations de base: de l'électron en fait essaie d'exécuter du code javascript (à partir d'une chaîne à l'aide de require('electron').executeJavaScript) et, si elle réussit, elle considère que votre code dangereux.

OriginalL'auteur Marc