为什么<img>标签的src属性允许使用javascript: URI？

Question

3

在我看过的几乎所有XSS缓解指南中，都提到了以下模式：

<img src="javascript:evil();">

这有什么合法的用途吗？你能否使用JS代码生成Base64编码的表示或其他东西呢？

- wwaawaw

从这里看来，我的建议是不被允许的。 - wwaawaw

2个回答

1

我不知道是否有合法的用途，但一些浏览器（通常是旧版本）会执行JavaScript。请参阅OWASP XSS过滤器逃避Cheat Sheet。

- Richard JP Le Guen

我本想链接到 ha.ckers.org 的 XSS 作弊表，但现在看起来它重定向到了 OWASP 列表。太糟糕了；我记得它曾经更深入一些。 - Richard JP Le Guen

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- alex · Accepted Answer

它没有很多合法的用途。

它的工作方式可能是因为你可以在此使用任何协议，一些浏览器实现了javascript伪协议，可以从多个地方调用。