安全风险（XSS）的风格属性

2012-05-02 239 views 0 likes

在我们的应用程序，我们允许HTML从外部音源的显示，所以才显示出来，我们清理它。源有点可信，但我们想添加另一个图层。安全风险（XSS）的风格属性

我们删除样式标签，但希望保留样式属性。我知道脚本可以放在该属性中，并且想知道这些脚本可以在多大程度上用于XSS。换句话说，允许样式标签有哪些具体风险？

2012-05-02 Tamar

回答

与HTML电子邮件共享许多相同的风险。如果您在基于网络的阅读器（例如Gmail）中显示您的HTML电子邮件，则希望确保其无法逃离其容器并尝试混淆邮件界面本身。因此，在将电子邮件发送给用户之前，许多样式都被撕掉了。 Campaign Monitor在不同的邮件客户端中有一个good guide as to what CSS is allowed and disabled。这可能是一个很好的起点。

来源

2012-05-02 20:35:54

感谢您的回答，您链接的资源似乎非常有帮助！不过，我想知道更多关于潜在的XSS风险，在某些情况下，我已阅读可以与风格属性一起存在。我想知道那些案件是什么... – Tamar

请参阅：http://stackoverflow.com/questions/3607894/cross-site-scripting-in-css-stylesheets –

谢谢！这正是我一直在寻找的！ – Tamar

安全风险（XSS）的风格属性

回答

相关问题