Cross-Session Contamination

在 localStorage 與 sessionStorage 之間傳遞數值時，可能在不知不覺中暴露敏感資訊。

HTML5 提供 localStorage 和 sessionStorage 對應，可讓開發人員維持程式值。sessionStorage 對應提供呼叫頁面的儲存空間，且持續時間為頁面實例和即時瀏覽器階段作業運算期間。但 localStorage 對應則是提供可在多個頁面實例和瀏覽器實例存取的儲存空間。此功能可讓應用程式在多個瀏覽器標籤或視窗中維持並使用相同的資訊。

舉例來說，開發人員想要在旅遊應用程式中使用多個瀏覽器標籤或實例，讓使用者可以開啟多個標籤來比較住宿方案，同時也可以保持使用者原本的搜尋條件。在傳統的 HTTP 儲存方法中，使用者進行購物時存在一定風險，且在某個標籤中所做的決定 (已儲存在階段作業或 Cookie 中) 會干擾另一個標籤中的購物操作。

使用可在多個瀏覽器標籤中利用使用者數值的功能時，開發人員必須特別謹慎，別將敏感資訊從 sessionStorage 範圍移至 localStorage (反之亦然)。

範例 1：以下範例將信用卡 CCV 資訊儲存在工作階段中，表示使用者已授權網站對已建檔的信用卡收取購物費用。每次要在此瀏覽器索引標籤頁面中購物時，都必須核准信用卡。為了避免再次輸入 CCV，該資訊會儲存在 sessionStorage 物件中。但是，開發人員也會將資訊儲存在 localStorage 物件中。

...
try {
    sessionStorage.setItem("userCCV", currentCCV);
} catch (e) {
    if (e == QUOTA_EXCEEDED_ERR) {
        alert('Quota exceeded.');
    }
}

...
...

var retrieveObject = sessionStorage.getItem("userCCV");
try {
    localStorage.setItem("userCCV",retrieveObject);
} catch (e) {
    if (e == QUOTA_EXCEEDED_ERR) {
        alert('Quota exceeded.');
    }
    ...

    var userCCV = localStorage.getItem("userCCV");
    ...
}
...

藉由將資訊放回 localStorage 物件中，使用者可以在其他瀏覽器標籤中和呼叫新瀏覽器時使用 CCV 資訊。這樣會略過應用程式原本工作流程的邏輯。