个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
31
4
有一个security vulnerability关于 Bootstrap 3.3.7。它说“这个包的受影响版本容易受到通过数据目标属性的跨站点脚本(XSS)攻击。”我想知道如果不使用“data-target”属性，v3.3.7 是否可以安全使用。
最佳答案
所谓的“漏洞”仅在 data-target 时才会发生。 value 依赖于由外部(直接或间接)注入(inject)的数据，并且显示在除攻击者之外的其他用户受到影响的页面上。
换句话说，如果您的所有 data-target 都不是问题属性由硬编码的 html 文本组成。如果此页面仅被攻击者看到(自我黑客......)，这通常也不是问题。
例如你也可以说 jQuery .html()是一个漏洞，这是一个更明显的例子，但如果你是一个完全的 web 初学者或者只是没有注意，仍然容易受到 XSS 的攻击。
所以一般来说，避免在第三方中注入(inject)未转义的用户数据:弹出窗口、工具提示……或任何在幕后直接操作 DOM 的东西。
我个人不认为这是一个很大的漏洞，但如果像 这样的著名框架会更好。 bootstrap 处理这种情况或显式将方法命名为不安全以警告开发人员。
Chrome 审核认为 bootstrap 3.3.x 是一个漏洞 ( via synk ):
Includes front-end JavaScript libraries with known security vulnerabilities
关于security - 如果 "data-target"属性未使用，Bootstrap 3.3.7 是否安全可靠？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/52388366/
31
4
0
你能比较一下属性吗 我想禁用文本框“txtName”。有两种方式 使用javascript，txtName.disabled = true 使用 ASP.NET， 哪种方法更好，为什么？ 最佳答案 我
Count 属性 返回一个集合或 Dictionary 对象包含的项目数。只读。 object.Count object 可以是“应用于”列表中列出的任何集合或对
CompareMode 属性 设置并返回在 Dictionary 对象中比较字符串关键字的比较模式。 object.CompareMode[ = compare] 参数
Column 属性 只读属性，返回 TextStream 文件中当前字符位置的列号。 object.Column object 通常是 TextStream 对象的名称。
AvailableSpace 属性 返回指定的驱动器或网络共享对于用户的可用空间大小。 object.AvailableSpace object 应为 Drive
Attributes 属性 设置或返回文件或文件夹的属性。可读写或只读（与属性有关）。 object.Attributes [= newattributes] 参数 object
AtEndOfStream 属性 如果文件指针位于 TextStream 文件末，则返回 True；否则如果不为只读则返回 False。 object.A
AtEndOfLine 属性 TextStream 文件中，如果文件指针指向行末标记，就返回 True；否则如果不是只读则返回 False。 object.AtEn
RootFolder 属性 返回一个 Folder 对象，表示指定驱动器的根文件夹。只读。 object.RootFolder object 应为 Dr
Path 属性 返回指定文件、文件夹或驱动器的路径。 object.Path object 应为 File、Folder 或 Drive 对象的名称。 说明 对于驱动器，路径不包含根目录。
ParentFolder 属性 返回指定文件或文件夹的父文件夹。只读。 object.ParentFolder object 应为 File 或 Folder 对象的名称。 说明 以下代码
Name 属性 设置或返回指定的文件或文件夹的名称。可读写。 object.Name [= newname] 参数 object 必选项。应为 File 或&
Line 属性 只读属性，返回 TextStream 文件中的当前行号。 object.Line object 通常是 TextStream 对象的名称。 说明 文件刚
Key 属性 在 Dictionary 对象中设置 key。 object.Key(key) = newkey 参数 object 必选项。通常是 Dictionary
Item 属性 设置或返回 Dictionary 对象中指定的 key 对应的 item，或返回集合中基于指定的 key 的&
IsRootFolder 属性 如果指定的文件夹是根文件夹，返回 True；否则返回 False。 object.IsRootFolder object 应为&n
IsReady 属性 如果指定的驱动器就绪，返回 True；否则返回 False。 object.IsReady object 应为 Drive&nbs
FreeSpace 属性 返回指定的驱动器或网络共享对于用户的可用空间大小。只读。 object.FreeSpace object 应为 Drive 对象的名称。
FileSystem 属性 返回指定的驱动器使用的文件系统的类型。 object.FileSystem object 应为 Drive 对象的名称。 说明 可
Files 属性 返回由指定文件夹中所有 File 对象（包括隐藏文件和系统文件）组成的 Files 集合。 object.Files object&n
我是一名优秀的程序员,十分优秀！