傳統DDoS依賴僵尸網絡，新型JS DDoS利用「萬物皆可瀏覽器」特性，任何訪問被污染頁面的設備（手機、IoT、智能電視）瞬間成為攻擊節點，潛在規模接近無限。

攻擊鏈路分析

1. 供應鏈投毒： 第三方CDN/庫文件被篡改（如event-stream事件）
2. 中間人劫持： HTTP明文傳輸中注入惡意JS
3. 瀏覽器執行： 受害者訪問頁面 → 瀏覽器加載惡意JS → 向目標發起海量請求

防禦體系：兩大技術標準

1. 子資源完整性 —— 解決供應鏈投毒

原理： HTML標籤添加 integrity 屬性（Base64編碼的SHA-384/256哈希），瀏覽器下載後驗證哈希，不匹配則拒絕執行。

<script src="https://cdn.example.com/lib.js"
        integrity="sha384-oqVuAfXRkap7fdgcCY5uykM6+R9GqQ8K/uxy9rx7HNQlGYl1kPzQho1wx4JwY8wC"
        crossorigin="anonymous"></script>

支持現狀： Chrome 45+、Firefox 43+、Edge 17+、Safari 11+。舊版瀏覽器忽略屬性，建議配合CSP require-sri-for script 強制要求。

2. 全站HTTPS —— 解決中間人劫持

• TLS加密傳輸鏈路，防止ISP/公共Wi-Fi/路由器劫持注入JS
• HSTS預載列表、CSP upgrade-insecure-requests 強制升級
• 證書透明度(CT)日誌監控，防偽證書

補充防禦層

• CSP (Content Security Policy)： 白名單限制腳本來源，script-src 'self' https://trusted.cdn.com
• Subresource Integrity + CSP 雙重保險
• 服務端渲染減少客戶端JS依賴
• 邊緣節點(WAF/CDN)檢測異常流量特徵

應急響應

1. 發現被注入 → 立即下線受影響頁面/切換備用CDN
2. 通過日誌分析確定污染範圍與時間窗口
3. 輪換相關密鑰、撤銷受影響憑證
4. 向用戶通報風險，建議清理瀏覽器緩存

SRI鎖死腳本指紋，HTTPS加密傳輸鏈路，雙管齊下將JS DDoS攻擊面壓縮至最小。