Websites herunterladen, die Axios nutzen

Über Axios

Ein HTTP-Client ist weniger eine Designentscheidung als ein Reflex. Zu Axios greift ein Entwickler auf dem Weg zu dem Problem, das er eigentlich lösen wollte, und die Wahl fällt meist ein einziges Mal und wird nie wieder überprüft.

Axios ist eine Bibliothek der Kategorie JavaScript libraries, die HTTP-Anfragen in eine Promise-basierte Schnittstelle verpackt, 2014 unter der Lizenz MIT erschien und sowohl im Browser als auch serverseitig in JavaScript-Umgebungen genutzt wird. Fast jede Anwendung, die mit einer API kommuniziert, braucht Code dieser Art, deshalb sagt die Entscheidung für Axios für sich genommen sehr wenig aus. Die Versionsangabe dagegen verrät sehr viel.

Stand Oktober 2026 erkennen wir Axios auf 9.239 Websites und verzeichnen über diese Installationen hinweg 99 verschiedene Versionsangaben. Version 0.19.2 zieht sich durch den Bestand und stammt aus der Vorabphase der Bibliothek, nicht aus einer aktuellen Reihe. Eine Seite, die noch einen Build aus dieser frühen Phase ausliefert, wurde in der Regel seit dem Tag ihrer Veröffentlichung nicht neu gebaut, denn die Datei wurde einmal kompiliert, hochgeladen und danach nie wieder angefasst.

4.098 der erkannten Websites verorten wir in den USA, und die häufigste Endung ist .com. Die Geografie spielt hier eine geringere Rolle als bei einer gehosteten Plattform, denn eine Bibliothek wie Axios verbreitet sich über Framework-Tutorials und nicht über einen lokalen Markt. Nützlich ist die Länderspalte in diesem Fall, um ein Audit auf eine Rechtsordnung einzugrenzen.

Für ältere Releases von HTTP-Clients gibt es veröffentlichte Sicherheitshinweise, und bei den für Axios relevanten ging es um das Weiterleiten von Anfragen und um Zugangsdaten, die an Redirect-Ziele abfließen. Ein Sicherheitsteam, ein Versicherer, der Risiken im Web bepreist, oder ein Anbieter von Abhängigkeitsscans muss nicht wissen, ob eine einzelne Domain betroffen ist. Eine Domain zu prüfen, erledigt eine Browserkonsole in einer Minute. Die Frage, für die es sich zu zahlen lohnt, lautet, welche Domains in einem ganzen Markt noch einen betroffenen Build ausliefern, und dafür filtert man eine Liste, statt eine einzelne Website abzufragen.

Die Erkennung hat eine bekannte Verzerrung, die man benennen sollte. Axios wird meist in einen Anwendungs-Chunk gebündelt und minifiziert, und eine gebündelte Kopie trägt keinen erkennbaren Dateinamen. Unter den Websites, die wir benennen können, sind daher diejenigen übergewichtet, die die Bibliothek als separates Skript von einem öffentlichen CDN oder aus einem Verzeichnis für Fremdbibliotheken ausliefern. Die tatsächliche Verbreitung ist größer als die oben genannte Zahl, und die erfasste Version stammt aus dem, was der Pfad oder der Banner-Kommentar angibt, nicht aus dem, was der Code tatsächlich ist. Betrachten Sie den Export als Untergrenze und als Stichprobe eines einzigen Bereitstellungsstils, der zufällig genau der Stil ist, in dem nie neu gebaute Bundles typischerweise liegen bleiben.