javascriptでパスワードを保持する - セキュリティの影響？

Question

ブラウザのjavascript変数にユーザーのパスワードを保持すると、ブラウザベースのクライアントの通常のセキュリティ上の脆弱性を超える特定のセキュリティ上の脆弱性が露呈しますか？

簡単な例として、このスニペットを考えてみましょう - jsfiddle here

<label for="password">Password</label> 
<input type="password" id="password"/><br/><br/> 
<button type="button" id="pwdButton">Store password in window.password</button> 

<script> 
    function getContentsOfPasswordField() { 
     return jQuery("input#password").val(); 
    } 

    jQuery("button#pwdButton").on("click", function() { 
     window.password = getContentsOfPasswordField(); 
     alert("'" + password + "' stored in global var window.password") 
    }); 
</script> 

この例では、パスワードの変数はグローバルであり、ページの存続期間を通じて持続、ちょうどそれがオープンツー攻撃可能な限り行うことと最悪の場合のシナリオを与える。おそらく、変数のスコープ/ライフタイムを制限することで、特定の種類の攻撃からそれを保護できますか？

すぐに起こる攻撃はXSSですが、最初にクライアントがXSSに対して脆弱な場合、攻撃者はキーロギングによってパスワードを読み取ることができます（this参照）。そのため、私が見る限り、XSS攻撃に対する脆弱性が増します。

質問のポイントは、実際にこれを行うことは悪い習慣であるかどうか、これは、クライアント側のWebアプリケーションのセキュリティに関する基本的な問題:)変数にパスワードを残す

Answer 1

の詳細ですされていませんのでご注意ください人々に公開してブラウザツールで簡単にアクセスできます。 ストアパスワードボタンが押されたときに呼び出される関数は、passwordという変数にパスワードを格納します。この変数がページの後で使用されていなくても、後でコードのどこかで処理するだけで、ブラウザに開発者ツールを開き、alert(password);のようなステートメントを追加し、パスワードは文字通りそれらの前にポップアップします。

誰かにそれをさせるのに十分なシンプルなコードは、おそらくWebに載る価値がないし、それに耐えられるほど価値がないかもしれませんが、私たちが本当にどれほど恐るべきものか教訓になると思います。