JavaScript Security

Guía concisa y condensada publicada por Packt Publishing en 2014, redactada por Y.E. (Eugene) Liang. En poco más de 100 páginas, la obra sintetiza las vulnerabilidades más críticas que afectan a las aplicaciones web desde la perspectiva del código JavaScript en el navegador. Está orientada a programadores de nivel principiante e intermedio que dominan la sintaxis básica de JavaScript, la manipulación del árbol DOM y las peticiones asíncronas vía Ajax, y que buscan comprender rápidamente dónde residen los puntos débiles de la ejecución en el cliente y cómo corregirlos sin perderse en extensos manuales teóricos.

El libro aborda en seis capítulos directos los vectores de ataque más recurrentes del ecosistema web: el modelo de seguridad del navegador sustentado en la política del mismo origen (Same-Origin Policy); los mecanismos para proteger peticiones Ajax y servicios RESTful (incluyendo riesgos asociados a JSONP, manejo de credenciales y transporte cifrado); la anatomía de los ataques de Cross-Site Scripting (XSS persistente, no persistente y basado en DOM) junto con técnicas de codificación y sanitización de salida; contramedidas frente a Cross-Site Request Forgery (CSRF) mediante tokens y validación de cabeceras; los peligros de depositar confianza excesiva en el cliente (como la manipulación de variables globales, cookies y almacenamiento local); y tácticas de phishing en JavaScript como clickjacking, keystroke logging e iframes maliciosos defendidos con X-Frame-Options y CSP.

El autor expone los conceptos acompañados de fragmentos de código focalizados que recrean la vulnerabilidad y muestran la contramedida adecuada, permitiendo experimentar con vectores de prueba en entornos locales controlados. Dado su formato breve de manual de bolsillo, carece de proyectos completos de software y de listas formales de ejercicios. Su mayor utilidad es servir como una lista de verificación y referencia ágil para detectar errores habituales en el frontend; cabe advertir que, al haber sido publicado en 2014, no aborda las particularidades de frameworks de componentes modernos (como React, Vue o Angular) ni especificaciones defensivas posteriores de cookies (como el atributo SameSite).