一、 引言
在XMLHttpRequest對象和AJax給用戶和開發者帶給巨大好處的同時,也許還有一些問題你沒有考慮到-但是的確到了值得引起每個人注意的時候了。
甚至非常討厭的人也都喜歡XMLHttpRequest，因為它提供給程序員真正夢想的功能。也正是因為有了這樣的新技術，Web應用軟件開始變得具有象桌面應用軟件相似的行為。如今，問題總是象"假定為……"那樣地簡單，這把幼稚的終端用戶從需要了解服務端、客戶、回寄和提交按鈕-"提交？提交給什麼東西？"-等一系列問題的苦海中解脫出來。
最近,無數可怕的案例爆炸式出現在Web上，它們充分說明為什麼遠程腳本(或稱"AJax"，如果你喜歡的話)是自從單像素點gif技術以來最偉大的事情。事實上,成串的酷極的、有用的應用軟件正日益增長,象站點Flickr,Google Maps,The WebORB Presentation Server等所宣傳的那樣。
這些站點和另外許多地方大肆宣傳AJax的能力。公正地說,這種技術在提高在線操作的質量方面的確有相當的潛力來。然而,盡管它有許多的優點，但是這個神聖的Web通訊大杯中嗅起來仍然有一股奇怪的味道；就象擺動在我們面前的啤酒和巧克力,仍有一個邪惡的方面存在於其中-表面上看起來是多麼地純潔和天真。
這種潛在的邪惡存在於用戶熟悉的操作界面背後的重要的功能性差距之中。你們當中許多人可能已經使用互聯網近10年了，並且你知道它怎樣工作：你到處點按鼠標，填充表單，修改你的輸入；當做完所有這些，你可以點擊提交按鈕。你們都了解這些精華經驗-它們從因特網的一代傳遞到新的一代,如:"不要點按提交按鈕兩次-否則，表單可能要提交兩次"或"等待稍微長一些時間，它正在處理"或"在你提交了表單後,不要點按'向後'按鈕"，等等。
但是既然現在AJax已登堂入室，那麼你可以把基本知識拋出窗外。簡直是"什麼東西都可以"-突然間出現一種新的可被跟蹤的數據-可以在任何時候發送出去，而不需要用戶的任何了解，甚至用戶還不了解這竟然是可能發生的。每一次擊鍵，每一個鼠標移動，每一下點按鼠標，每一次停頓，都能被捕獲並發送到Web服務器，而你對此無能為力。
二、 XMLHttpRequest:利與弊
就象許多技術存在利弊一樣，產生這種技術的目的是為了利用其優點。直到如今，XMLHttpRequest帶給人們如此多的優點，諸如不需回滾的輸入校驗，文本區域的拼寫檢查以及Gmail等等，簡直幾乎為人們捧之為神聖。基於AJax技術創建的接口使用起來非常有趣，甚至編碼更有趣味。簡直很難令人相信，這樣一種神奇的技術竟然能夠做錯事情。
但是，即使還沒有發現存在巨大的安全漏洞，該XMLHttpRequest也有可能因為其外在的優雅而失敗。它很可能會失敗在"用戶輪廓圖"-用於更好的描述之目的-的應用之中。當前,用戶輪廓圖幫助Web站主偵探趨勢,跟蹤網頁浏覽習慣並幫助消除使用性問題。但是直到現在，開發人員還只能分析寄回的數據-用戶決定讓服務器取得的數據並為提交後得到處理而高興。
但是通過一種微秒的手段，這種能量平衡會發生易位。通過使用AJax技術，一個用戶的行為可以被持續地並小心地監控。因為它能被做,所以它將被做；這就帶給人們一個相當頭疼的問題，而不僅僅是浪費帶寬、成兆的垃圾信息以及更慢的網頁裝載次數的問題。
設想一下，這裡僅是舉例說明問題，你把一部新購買的iPod掉到地上去了，結果它停止了工作。抱著希望得到免費的替換的想法，你發了一封電子郵件給Apple公司的售後服務部，信中說："我剛剛買了一個新牌子的iPod。我不小心把它掉到了樓梯上，它突然停止工作了。"之後，你決定刪去第二句以支持你的理由。太晚了！如果該網站使用了AJax技術,你的反映可能早就被殺死在了你的抱怨桌前！
或者-一個更惡意破壞性的例子-請考慮這種情況：大多數人都有一個或兩個用戶名/口令組合以用於他們的"並不重要"的站點，如新聞站點、博客、論壇等。他們可能還有幾個保留的這種組合以用於更敏感的網站-銀行業務，Web郵件和工作帳號等。在一個給定頁面中輸入不正確的登錄細節是非常普通和極易犯的錯誤。雖然他們以前形成的習慣的影響應對此負主要責任，但是在人們點擊提交按鈕前常常是已經意識到他們所做的事情的。
不幸的是，一個AJax擊鍵記錄程序實現起來相當麻煩。使用如此的一個擊鍵記錄程序,就可以用代碼來收集不正確的登錄嘗試，然後針對一系列"重要的"站點對之進行試驗-當然，也可以使用XMLHttpRequest對象。
三、 "惡意"暗示
公平地說,上面引用的大多數的"惡意"應用軟件都能被合理地加以處理，即使在XMLHttpRequest技術出現以前。的確，request對象是一種相對於以前的IFrame技術更為優雅的成功提交表單數據的方法。但是，XMLHttpRequest以一種更為自然的方式工作，這種方式簡直可以能使客戶端與服務器端的交互差別逐漸消失。
具有諷刺意味的是，直到最近，隨著Firefox Web浏覽器的不斷流行，才使得較多用戶真正了解到可以由Web客戶端儲存和控制的信息的深度和廣度。隨著廣泛采用象Greasemonkey，web開發者擴展以及cookIE編輯器這樣的工具，人們比以往任何時候更為確信，如果問題發生在客戶端，那麼責任一般應歸咎於該用戶。
上面的代碼執行包含在來自於XMLHttpRequest的響應中的Javascript代碼。換句話說,有可能出現這種情況：即使一個頁面加載完畢，也有可能在後台再進行添加或修改JavaScript函數和代碼！因此就算你觀察該頁面代碼的源代碼-它可能發送了鍵擊或鼠標移動事件到Web服務器,你也無法確信你所見的代碼是當前執行的唯一代碼。把這些特征與一些令人膽戰心驚的困惑結合起來，那麼你可以看到，惡意目的與XMLHttpRequest對象相結合，怎麼不能實現Web客戶的信息竊取！ 軟件開發網
