javascript - 从网站上的电子邮件显示 HTML

Question

我正在尝试在 html 页面上显示 html 电子邮件。从技术上讲我可以做到，但安全是一个问题，攻击者可能会形成恶意代码并放入 html 电子邮件中。

我试过使用 Microsoft XSS 库来清理 html，但它删除了太多内容，基本上不值得这样做。

我想知道是否有更好的 iframe 或其他解决方案。例如，有没有办法保护 iframe 中的数据？

GMail 似乎显示 html 电子邮件，他们必须有一个很好的 html sanitizer 。

Answer 1

您的基本选项是:

1. 清理 HTML(为了安全起见，使用白名单方法)
2. 在不同的域上使用带有 src 的 iframe，或者使用 html5 sandbox 属性

两者都可以有效地完成，并且在细节上有很多变化。

关于如此多的 sanitizer 是不值得的:像https://github.com/guardian/html-janitor/这样的好库(javascript) 和 https://github.com/jsocol/bleach (python) 具有自定义白名单的能力。这取决于您是否只是试图以基本格式呈现典型的用户生成的 HTML 电子邮件，或者您是否试图显示具有大量图像、表格等的完全“设计”的时事通讯。如果只是前者，在一些快速试验中使用漂白剂，我只需将 br 和 div 添加到批准的标签列表中，就可以使大多数电子邮件看起来不错，因此空白不会被删除。