javascript - 除了通过这些方法之外，还能如何插入javascript？

Question

除了以下方式之外，还有哪些方式可以将 Javascript 放置在 HTML 页面中:

1. <script> </script>正文中的标签或头标签中的标签或从外部文件加载的标签。
2. onEvent 触发器
3. <a href="javascript:code goes here;"></a>
4. <form action="javascript:code goes here;"></form>

Answer 1

• javascript: 采用 URI 的其他属性中的 URI(例如 img src)
• IE CSS 中的表达式
• 大量涉及无效 HTML 或格式错误的 URI 的技巧

不要列入黑名单，请确保使用白名单。事情确实发生了变化。请记住，字符可以替换为 HTML 实体。解析 HTML，将其通过白名单过滤器，然后将其序列化回 HTML。

另请参阅http://ha.ckers.org/xss.html