Cross-Session Contamination

Transferir valores entre localStorage e sessionStorage pode expor informações confidenciais involuntariamente.

O HTML5 fornece mapas localStorage e sessionStorage para permitir aos desenvolvedores manterem os valores do programa. O mapa sessionStorage fornece armazenamento à página de chamada e permanece apenas pela duração da instância de página e da sessão imediata do navegador. O mapa localStorage, no entanto, fornece um armazenamento acessível por meio de várias instâncias de página e várias instâncias de navegador. Essa funcionalidade permite a um aplicativo persistir e utilizar a mesma informação em várias guias ou janelas do navegador.

Por exemplo, um desenvolvedor pode desejar utilizar várias guias ou instâncias do navegador em um aplicativo de viagem que quer permitir a um usuário abrir várias guias para comparar acomodações enquanto mantém os critérios de pesquisa originais do usuário. Na situação tradicional de armazenamento HTTP, o usuário arrisca compras e decisões deitas em uma guia (e armazenadas na sessão ou nos cookies), interferindo com as compras em uma outra guia.

Com a capacidade de utilizar os valores do usuário em várias guias do navegador, os desenvolvedores devem ter cuidado para não mover informações confidenciais do escopo de sessionStorage para o localStorage ou vice-versa.

Exemplo 1: O exemplo a seguir armazena as informações CCV de cartão de crédito na sessão para indicar que um usuário já autorizou o site a cobrar do cartão armazenado em arquivo por uma compra. Para cada tentativa de compra no contexto da guia do navegador, a aprovação do cartão de crédito é exigida. Para evitar que a CCV seja inserida novamente, as informações são armazenadas no objeto sessionStorage. No entanto, o desenvolvedor também armazena as informações no objeto localStorage.

...
try {
    sessionStorage.setItem("userCCV", currentCCV);
} catch (e) {
    if (e == QUOTA_EXCEEDED_ERR) {
        alert('Quota exceeded.');
    }
}

...
...

var retrieveObject = sessionStorage.getItem("userCCV");
try {
    localStorage.setItem("userCCV",retrieveObject);
} catch (e) {
    if (e == QUOTA_EXCEEDED_ERR) {
        alert('Quota exceeded.');
    }
    ...

    var userCCV = localStorage.getItem("userCCV");
    ...
}
...

Ao colocar as informações de volta no objeto localStorage, as informações CCV estarão agora disponível em outras guias do navegador e também em novas invocações do browser. Isso ignorará a lógica do aplicativo para o fluxo de trabalho pretendido.