Antes de tudo, vale entender minimamente o que são os protótipos em JavaScript. Basicamente, todo objeto em JavaScript pode herdar propriedades e métodos da cadeia de protótipos.
Primitivos, por sua vez, não são objetos e, portanto, não têm propriedades, mas, em face de algo chamado "primitive wrapping", possuem associações com os objetos correspondentes. Por exemplo, o primitivo string
é envolvido pelo construtor String
; primitivo number
, por Number
e por aí vai. É por isso que, apesar de primitivos não possuirem propriedades, você pode, na prática, acessar propriedades em "valores primitivos".
Modificando __proto__
A poluição de protótipos (prototype pollution), em resumo, acontece quando você modifica o protótipo de um valor, o que irá refletir na mudança de todos os outros valores que compartilham o mesmo protótipo. Veja um exemplo:
const obj1 = { name: 'Foo' };
const obj2 = { name: 'Bar' };
console.log(obj1.changed); // undefined
console.log(obj2.changed); // undefined
obj1.__proto__.changed = true;
console.log(obj1.changed); // true
console.log(obj2.changed); // true
const obj3 = { name: 'Baz' };
const str1 = 'Qux';
console.log(obj3.changed); // true
console.log(str1.changed); // true
No exemplo acima, utilizei a propriedade __proto__
(presente em todos os objetos) para acessar e alterar o protótipo de um dado objeto. Atualmente, a linguagem também oferece outros mecanismos para fazer isso, como Reflect.getPrototypeOf
e Reflect.setPrototypeOf
. Em virtude do fato de __proto__
estar presente em todos os objetos da linguagem, torna-se trivial alterar (muitas vezes não intencionalmente) o protótipo de certo objeto.
Note que, ao alterar o objeto __proto__
, você altera está alterando o protótipo do objeto que o contém. No exemplo acima, estamos modificando o objeto Object.prototype
(que é o protótipo do objeto literal que criamos).
Observe também que, como os protótipos formam uma cadeia, ao modificar Object.prototype
, praticamente todos os valores do JavaScript também terão sido invadidos, uma vez que praticamente tudo estende Object
(exceto null
e undefined
). Isso acontece porque, ao contrário de primitivos, em JavaScript, objetos são passados por referência. Assim, como o protótipo de um dado objeto é frequentemente compartilhado (por referência) entre diversos outros objetos ("instâncias"), você acabará por, provavelmente, alterar algo que não era para ser modificado, já que as alterações, nesse caso, não são locais, mas sim globais entre todos os valores que compartilham aquela referência.
Essa vulnerabilidade é muito comum em operações de fusão (merge), clonagem (clone), atribuição via caminho (path assignment) ou extensão (extend) de objetos.
Note que, <obj>.__proto__
permite acesso direto à propriedade prototype
do construtor de um dado objeto. Você também pode acessá-lo (e modificá-lo) via <obj>.constructor.prototype
. Saiba mais sobre a propriedade constructor
aqui. Para constar, ao contrário de __proto__
, a propriedade construtor
está especificada.
Se você está trabalhando com objetos de forma dinâmica, deverá, então, garantir que modificará a propriedade __proto__
ou constructor
por engano, que podem ser utilizadas como meio para esse tipo de ataque. Você também pode utilizar o método hasOwnProperty
para garantir que não está utilizando propriedades herdadas da cadeia de protótipos.
Está longe de ser uma boa solução para o problema, mas é interessante comentar que há como desativar ou impedir o uso de __proto__
no Node.js através da flag --disable-proto
.
Extensão de objetos nativos (constructor augmentation)
Uma outra forma muito comum de prototype pollution é modificar a propriedade prototype
de um construtor. Nesse caso também pode ser chamado de prototype augmentation, já que é intencional.
Por exemplo, o JavaScript não possui o método Array.prototype.shuffle
(para embaralhar um array). Com isso, ao invés de se criar uma função shuffle
, anexa-se um novo e não padronizado método no próprio protótipo dos arrays. Assim:
Object.defineProperty(Array.prototype, 'shuffle', {
writable: true,
configurable: true,
enumerable: false,
value: function() {
// Implementação qualquer.
console.log('Chamado Array.prototype.shuffle em:', this);
}
});
[1, 2, 3].shuffle();
A princípio, isso pode parecer uma boa ideia, já que fica sintaticamente mais agradável. É muito mais bonito fazer [1, 2, 3].shuffle
do que shuffle([1, 2, 3])
— pelo menos muita gente parece achar. No entanto, isso pode trazer uma série de consequências negativas:
-
Possível interferência entre códigos
No caso dessa prática se tornar comum, nada garante que uma biblioteca A poderá estender ou modificar o que uma biblioteca B já modificou.
-
Quebra de compatibilidade a longo prazo
Se muita gente decidir estender um objeto nativo, duas situações ruins podem emergir:
- A especificação estandardizar o novo método e todo o código que modificou ficará com a implementação não oficial, que é, indubitavelmente, menos performática.
- A especificação simplesmente não ser capaz de criar um novo método. Isso aconteceu com o
Array.prototype.contains
(nome original que, para não quebrar compatibilidade, teve que ser trocado para Array.prototype.includes
). [Ref]
-
Alterar o resultado do for..in
Muitas pessoas usam o for..in
para iterar sobre as propriedades de certo objeto. Como esse laço também leva em conta as propriedades herdadas pelo protótipo (propriedades não próprias), se a pessoa não tomar o mínimo cuidado ao estendê-lo, poderá afetar os laços for..in
. Veja:
const arr = ['a', 'b'];
// Antes de estender `Array.prototype`:
for (const key in arr) {
console.log(key, '->', arr[key]);
}
console.log('----');
// Estendendo o protótipo de `Array` (forma leviana):
Array.prototype.shuffle = function() {
// Implementação qualquer.
console.log('Chamado Array.prototype.shuffle em:', this);
}
// Depois da extensão.
for (const key in arr) {
console.log(key, '->', arr[key]);
}
Por conta disso, no caso de se estender um objeto nativo do JavaScript, é recomendado utilizar o método Object.defineProperty
para criar a nova propriedade com o atributo [[Enumerable]]
definido como false
, visando à não alteração do comportamento padrão do for..in
. Saiba mais sobre descritores e atributos de propriedade aqui.
Em suma, só modifique o código se você tiver certeza do que está fazendo. Em pequena escala, o problema não será tão alarmante, mas nessas condições vale questionar: será que realmente vale a pena? Na maioria das vezes uma função já basta.