javascript - 我可以阻止用户将 Javascript 粘贴到设计模式 IFrame 中吗？

Question

我正在构建一个在设计模式下包含 IFrame 的 Web 应用程序，以便我的用户可以“启动”其内容并粘贴要在其页面上显示的内容。就像大多数博客引擎或论坛上的所见即所得编辑器一样。

我正在尝试考虑需要堵塞的所有潜在安全漏洞，其中之一是用户在 Javascript 中粘贴:

<script type="text/javascript">

// Do some nasty stuff

</script>

现在我知道我可以在保存它和/或将其返回之前在服务器端将其删除，但我担心有人能够粘贴一些脚本并在那里运行它，然后，甚至没有将其发送回服务器进行处理。

我是不是无忧无虑？

任何建议都会很棒，在 Google 上找不到太多内容。

安东尼

Answer 1

...I'm worried about the possibility of someone being able to paste some script in and run it there and then, without even sending it back to the server for processing.

Am I worrying over nothing?

Firefox 有一个名为 Greasemonkey 的插件，允许用户对加载到浏览器中的任何页面任意运行 JavaScript，而您对此无能为力。 Firebug 允许您修改网页以及运行任意 JavaScript。

据我所知，您实际上只需要担心它到达您的服务器，然后可能会影响其他用户。