php - 如何让用户安全地编写javascript？

Question

Tumblr 和 Blogger 等博客提供商允许用户在自己的博客中编写脚本。

它使用户可以轻松地将 AdSense、Analytics 和计数器添加到他们的博客中。

如何兼顾安全性和定制化？

我应该过滤什么样的脚本？

谢谢 :)

Answer 1

如果每个博客都将在自己的域中(而不是像 blogname.myblog.com 这样的共享二级域!)，很可能没有必要过滤任何东西。

同源策略将阻止站点访问任何重要内容(例如可能被劫持以侵入其他博客或管理 URL 的 session cookie)。

恶意用户添加指向受恶意软件感染的站点的 iframe 或做其他邪恶事情的危险总是存在的。但是你没有机会可靠地停止它。每个允许其客户上传 HTML 的托管公司都有完全相同的问题。我想除了监督，让每个博主签署一些条款和条件，并踢出任何违反它们的人之外，没有什么可以做的。

如果您计划在共享域上运行博客，这可能会变得更加困难，因为博客可以访问彼此的东西，也可能访问管理区域的 cookie。您必须注意许多事项。