允许用户使用自定义css风险大吗?
抱歉,问题不够具体。可能的实现方式:提供一个文本框供用户输入自定义css,然后通过js将该css放入一个样式元素<style type="text/css"></style>
中。
允许用户使用自定义css风险大吗?
抱歉,问题不够具体。可能的实现方式:提供一个文本框供用户输入自定义css,然后通过js将该css放入一个样式元素<style type="text/css"></style>
中。
是的,存在许多潜在的XSS攻击,主要是通过在背景图像等URL中插入JavaScript。在XSS Cheat Sheet中搜索“style”以获取一些示例。
此外,用户CSS可能会破坏您的站点,例如使导航菜单为0x0像素或将其移动到-1000,-1000。或者CSS本身可能会引用来自其他站点的图像,您无法保证这些图像会继续存在。
这取决于您如何实现该功能。如果您提供一个表单,允许人们选择自己的CSS值,那么存在脏输入的固有风险。
如果他们编写了一些隐藏或遮盖登录等内容的CSS,会怎样呢?
还有多个问题,例如CSS历史记录攻击、与URL相关的多个XSS漏洞,以及可能尚未被发现的其他问题。
在显示用户输入之前,始终对其进行清理和过滤。