javascript - 处理嵌入式 SVG 脚本标签中的字符引用

Question

这是一个xss脚本:

<svg><script>&#x61;&#x6c;&#x65;&#x72;&#x74;&#x28;&#x31;&#x29;</script></svg>

<script>之间的代码标签将被翻译成 alert(1)由浏览器执行。

但如果我不使用 <svg>标记代码不会被翻译成脚本。谁能告诉我为什么会这样？ <svg>如何标记工作？

Answer 1

character references的使用根据 HTML 5 规范，HTML 解析器明确不允许在脚本标记内使用。

HTML5 有一个 separate script parsing mode作为随上下文变化的多种标记化模式之一。脚本解析不允许字符引用，其他一些解析模式允许。

SVG 基于 XML，其中的规则更加简单直接。基本上任何地方都允许使用字符引用，因为有 aren't different context sensitive parsing modes .

对于 HTML 中的 SVG，HTML 规范 says

The svg element from the SVG namespace falls into the embedded content, phrasing content, and flow content categories for the purposes of the content models in this specification.

换句话说，将所有 SVG 文本解析为短语内容。所有 SVG 都是 HTML 5 解析器的单一自定义标记化模式。