是什么让 JAMStack 安全？

Question

JAMstack 的每一个描述似乎都提到“安全”作为好处，例如：

\n\n

\n

JAMstack 应用程序的静态特性使得扩展变得容易，并且几乎不会造成开发运营开销。JAMstack 方法还可以改善应用程序的安全状况，因为静态站点通常具有较小的攻击向量。

\n

\n\n

https://www.contentful.com/r/knowledgebase/jamstack-cms/

\n\n

\n

提供更好的性能、更高的安全性、更低的扩展成本以及更好的开发人员体验。

\n

\n\n

https://jamstack.org/

\n\n

我真的不明白什么是“更安全”。我所看到的都是这样的引用：

\n\n

\n

开发人员可以利用第三方服务的专业知识来增强网站/应用程序的安全功能

\n

\n\n

那么，简而言之，这里唯一的“安全”是否来自以下事实：Auth0、Octa或其他任何应该擅长安全的人，因为这是他们的重点？或者我错过了什么？

\n\n

编辑了一下，又发现了一句：

\n\n

\n

由于服务器上没有运行数据库、插件或动态软件，代码注入和黑客攻击的可能性大大降低。当您的网站是静态文件的集合时，所有动态功能都由 API 和客户端 JavaScript 处理，无需依赖 CMS 插件。虽然处理持久数据的外部 API 完全有可能暴露漏洞，但消除 CMS 可以消除大量故障点和攻击媒介。对于静态博客来说，可以毫不夸张地说，安全性基本上不再是问题，至少与典型的 WordPress 安装相比是这样。

\n

\n\n

https://builtvisible.com/go-static-try-jamstack/

\n\n

那么，似乎大多数“安全”只是没有 WordPress ？

\n

Answer 1

是的，基本上就是这样。

“没有 wordpress”意味着：

• 没有Wordpress、Drupal、Jumla、MySQL等...
• 如果您不使用第 3 方 CDN ，网络服务器端（IIS、Apache、Nginx）可能仍然存在，但更容易更新和缓解，因为它只提供静态文件，无需管理 php \ python \ 复杂的 cgi 插件和依赖项。
• 没有存储的 XSS，只有反射。

它极大地缩小了攻击面。