jsonp能用来做什么，除了利用不当的jsonp会出现信息泄露之外，对callback处理不当的jsonp依然存在很大的危险
callback可以控制，但是content-type已经限制了非html了，这安全了吗？
这样处理的jsonp，似乎可以避免xss的产生，但是依然可以借助这个jsonp，绕过一些“防止加载外部js”的xss。
这个jsonp可以作为一个跳板，因为jsonp其实就是一段js，而通过注释jsonp的内容，可以让js的释义发生变化。
同样的，这样的jsonp还可以被黑客很方便的用来绕过浏览器的 xss-filter，别忘了，浏览器不会觉得子目录下的js是危险的。
案例：qq邮箱某处dom-xss//待更新
注：本文内容来自互联网，旨在为开发者提供分享、交流的平台。如有涉及文章版权等事宜，请你联系站长进行处理。