如果我允许用户插入链接到他们自己主机的图像,我需要防止任何安全问题吗?
更好地解释一下,在哪些情况下会使我的网站容易受攻击?
更好地解释一下,在哪些情况下会使我的网站容易受攻击?
如果你在标记中进行简单的字符串插入,有人可能会关闭图像标签并开始一个脚本标签或类似的操作。因此,你应该注意用户以任何形式设置此图像src
属性时是否存在脚本注入。
例如,如果图像src
设置为以下内容:
myimagefile.jpg" /><script> ... </script>
htmlentities()
很重要。 - Pekkamyimagefile.jpg" onload=alert(1) a="
更好,因为它不需要尖括号。;) - rook