个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
26
4
我允许在应用程序的一个文本区域内使用 HTML，现在我要在客户端和服务器端验证中阻止某些 HTML 元素和属性。
我想知道允许 anchor 是否明智 <a>标签。我真的需要我的用户能够输入 anchor 。然而，我正在思考坏人可能会如何滥用 anchor 标记。
这就是我的想法。
可以使用它执行外部脚本。例如
盗贼可以简单地从源域内执行我自己的 JS 函数之一。
当然，我可以通过确保所有内容都在适当的范围内来缓解#2，但我只是出于一个好习惯而担心，即尝试考虑可能发生的所有邪恶事情，以便我可以将它们合并到我的代码/设计中。
还有其他方法可以滥用 anchor 标记吗？
最佳答案
是的，在应用程序中允许使用 a 标记是安全的。为了具体回答您的问题，您已经涵盖了大部分问题，但是某个地方的某人正在尝试新的问题。
使用最新的过滤库来绕过它可以减轻 xss 攻击 link
一旦输入格式正确(转义不受信任的数据)，就可以通过 HTML 解析器运行它。这会删除现有白名单中不存在的任何内容。
您不需要自己编写，并且已经存在许多 link ，其他可用。
附注建议您在服务器端而不是客户端进行过滤。 link
关于javascript - 在 html 编辑器中允许 anchor 标记安全吗？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/52024186/
26
4
0
虽然我在 reactjs 组件(组件名称为 renderLocationLink)的渲染方法返回的 html 中包含了 a 标签的 onclick 处理程序，但渲染正确地发生了 onclick 处理程
我必须以 docx 格式存储一些文档，但无法忍受使用 msword:我想编辑某种纯文本标记，除了基于 XML 的东西(我也不喜欢那样)和从/到那个到/从 docx 转换。 有什么选择吗？ 编辑:由于人
有一个页面，其 anchor 标记在延迟后变得可点击。我想使用用户脚本在可点击后点击它。 页面加载时，HTML 源代码为: Download 延迟一段时间后，#button 变
我正在将 XML 文件解析为 pandas 数据帧。使用下面的代码我可以成功获取所有内容，但是这使用了完整 XML 的编辑版本。完整的 XML 在主数据表之上有一堆摘要数据，请参阅完整的 XML he
目前我正在研究 xml.sax 解析器来解析 xml 文件 假设我有以下代码 filepath = 'users/file.xml' try: parser = xml.sax.make_pa
我正在尝试构建一种语法来解释用户输入的文本，搜索引擎风格。它将支持 AND、OR、NOT 和 ANDNOT bool 运算符。我几乎所有东西都在工作，但我想添加一个规则，将引用字符串之外的两个相邻关键
我遇到了 Terraform EKS 标记的问题，并且似乎没有找到可行的解决方案来在创建新集群时标记所有 VPC 子网。 提供一些上下文:我们有一个 AWS VPC，我们在其中将多个 EKS 集群部署
我是xpath的新手，对此了解不多。我知道有一种方法可以使用xpath在xml / xhtml文件中查找特定标签。就我而言，我试图找到第一个（a）链接元素。不幸的是，我的xpath字符串[// a [
我在索引页上的产品卡上遇到问题。在产品卡内部，我有 Vue 组件来渲染表单(数量和添加到购物车按钮)。当我单击“添加到购物车”按钮时，我得到了预期的结果。响应被发送到根 vue 组件，然后我看到产品已
html setMouse(true)} onMouseEnter={() => setMouse(false)} className='resume-container'> CSS .resum
我在组件中有一组枚举，如下所示: type TOption = (clVisible, clVisibleAlways, clRenderable, clEditable); TOptions
是否有出于性能考虑的javadoc标签？ 人们可以想象: /** * ...other javadoc tags... * @perform Expected to run in O(n) tim
html setMouse(true)} onMouseEnter={() => setMouse(false)} className='resume-container'> CSS .resum
我有一个包含多个小子图的图。目标是当且仅当子图中的所有节点都是蓝色时，才将子图中的所有蓝色节点标记为红色。如果子图中的一个节点具有不同的颜色，绿色，那么我们将不会更改该子图中节点的颜色。 这是我正在使
我正在使用 json-ld 开发事件标记以包含在确认电子邮件中。 我的一些事件会定期重复发生。但是，最新的 Schema.org 规范不支持重复发生的事件，因此我遵循了此处提供的建议:http://l
我创建了一个插件，可以添加带有相应行号的标记。现在，这很棒，因为它现在显示在“标记” View 中。有没有办法当我双击标记上的一行时，它会转到标记指示的行？ 谢谢。 最佳答案 双击“标记” View
是否有一个插件具有与 Facebook 标记类似的行为？ 它的特别之处在于它具有: 在键入的单词之间自动完成 特殊输出的 html(与另一个输入字段同步) 最佳答案 您可以使用jquery提及输入pl
有没有更好的方法来读取java文件中的 token ？我目前正在使用 StringTokenizer 来分割 token 。但在大多数情况下，它的效率可能非常低，因为您必须逐个 token 地读取 t
我想知道是否有某种方法可以标记文件来识别该文件是否包含x。 考虑以下示例: 在批量转换过程中，我正在创建一个日志文件，其中列出了各个转换的成功/失败。 所以流程如下: 开始转换过程 创建名为batch
我一直在尝试模拟点击标签，但这并没有像我需要的那样工作。我的 anchor 标记看起来像这样 Download this pic 正常的 $("a").click() 或 trigger('cli
我是一名优秀的程序员,十分优秀！