用户提供的LESS的安全性

Question

作为我的论坛系统的一部分，用户可以在其帖子中包含LESS。帖子内容包含在uniqid引用的ID中，LESS包含在#IDhere {... }中。这为用户提供了充分的灵活性。

据我所知，没有办法打破这个块，并确保在使用包装器编译之前，LESS是语法检查而不用包装。这可以防止只关闭包装器并定义最终不会带来包装的样式（并简单地让最终的}被包装器添加）

我想不出这里有什么问题，但我想再看一眼这个问题！我是否错过了任何让用户在不在指定容器内设置样式的东西？

Answer 1

  

我是否错过了任何可以让用户设置不在指定容器内的东西的东西？

是。任何&的使用都允许用户将包装元素的选择器放在他们想要的任何地方，这允许使用以下行：

p:not(&) {
    ...
}

当嵌套在以下内容中时：

#uniqid {
    p:not(&) {
        ...
    }
}

产生

p:not(#uniqid) {
    ...
}

假设您强制执行唯一ID，会影响每个 p元素。