JS原型污染教程
enumeration.net 抓取正文展示的是一篇关于 Prototype Pollution（原型污染）的现代化 walkthrough，而非明确的网络安全 SaaS、WAF、SAST 或漏洞扫描产品。页面解释了攻击者如何通过可控属性污染 JavaScript 的 Object.prototype，使继承该原型的对象获得异常属性、行为或值，并以 {"__proto__":{"admin":true}} 这类示例说明风险。
从防护类型看，它更接近 Web 应用安全知识库或漏洞教学内容，重点覆盖 JavaScript 应用中的原型污染识别。正文列出了常见来源，包括不安全递归合并、深对象解析、URL 参数反序列化、不当 JSON 合并和框架辅助工具等。发现维度上，它提示了 Object.assign(target, userInput)、merge({}, payload)、$.extend(true,{},{}) 等高风险合并模式，以及动态对象路径设置、自动状态 hydration、深克隆库和未净化 JSON 合并等指标。
管理与告警、集成能力、部署方式、合规认证等方面，正文没有任何产品化说明。因此不能判断其是否提供扫描器、CI/CD 集成、仪表盘、告警通知、工单联动或合规报表。
页面未披露定价、授权模式、免费/付费版本、企业支持或付款方式。基于现有文本，只能认为其提供公开安全内容，无法评价商业购买路径或服务 SLA。
优点是主题聚焦，结构清晰，从漏洞基础、发现模式到影响升级均有覆盖，适合开发和安全人员快速建立原型污染风险认知。它还明确指出危险 sink，如 eval()、Function()、innerHTML、模板渲染器、访问控制检查和配置加载器，有助于理解漏洞如何升级为权限提升、DOM XSS、模板注入或配置投毒。
不足也很明显：缺少可执行检测能力、修复建议、规则样例、误报控制、报告导出、告警和企业级集成说明，不能替代 SAST、SCA、DAST 或代码审计平台。
它适合 JavaScript 开发者、安全研究人员、渗透测试人员用于学习和代码审计参考。若企业需要落地检测，可考虑 CodeQL、Semgrep、SonarQube、Snyk Learn/Advisor 或 PortSwigger Web Security Academy 等替代/补充资源。中国访问情况正文未提及，网络连通性和支付方式均未知。
本测评基于公开资料整理,不构成购买建议,请以 enumeration.net 官网实际信息为准。
免费安全 walkthrough，适合开发者学习。
评分明细(分布与用户短评)接入中。当前展示 TG4G 综合评分,数据源自公开测评与用户反馈。