javascript - 纯 HTML 小部件安全吗？

Question

我想通过浏览器插件在随机页面上显示一些框。这些盒子的内容也是随机的。

从上述框中删除脚本的简单检查是否足以为用户提供安全的体验？

我必须将框放在 iframe 中吗？

我是否已经从 HTML 中剥离了额外的代码？ (删除“脚本”标签就足够了吗？)

您知道哪些图书馆可以自动执行此操作吗？

Answer 1

Do I have to put the boxes in iframes?

是或否，取决于您对安全的定义。这不会阻止脚本启动恶意软件下载、将用户重定向到网络钓鱼页面、对用户当前登录的设计不佳的网站进行 XSRF 攻击。

Is a simple check to remove scripts from said boxes enough to offer a user a safe experience?

没有。嵌入脚本的方法有很多种，简单的检查很少能做到正确。例如，脚本可以嵌入链接、CSS、SVG、数据:URL 等。不要使用自己的 HTML sanitizer 。

尽管沙盒 JavaScript 与您关于安全 HTML 小部件的问题直接相关。看 http://code.google.com/p/google-caja/wiki/CorkboardDemo