HTML-only小部件是否安全？

Question

我想通过浏览器插件在随机页面上显示一些框。这些盒子的内容也是随机的。

是否需要从所述框中删除脚本以便为用户提供安全体验？

我必须把框放在iframe中吗？

我是否从HTML中删除了其他代码？ （正在删除“脚本”标签吗？）

你知道某个库可以自动完成吗？

Answer 1

  

我必须把框放在iframe中吗？

是或否，取决于您对安全的定义。 这不会阻止脚本启动恶意软件下载，将用户重定向到网络钓鱼页面，XSRFing用户当前登录的设计不佳的网站。

  

是否需要从所述框中删除脚本以便为用户提供安全体验？

没有。嵌入脚本有很多种方法，简单的检查很少能正确。例如，脚本可以嵌入链接，CSS，SVG，数据：URL等。 不要滚动自己的HTML清理程序。

与您关于安全HTML小部件的问题直接相关但是沙盒JavaScript。看到 http://code.google.com/p/google-caja/wiki/CorkboardDemo

Answer 2

否，平面HTML仍然可能是恶意的。可以使用<iframe>来加载来自任何网站的漏洞利用。可以使用<img>标记来利用基于GET的跨站点请求伪造（CSRF）漏洞。基于POST的CSRF漏洞需要一行javascript或一些用户交互。

删除javascript表单html远比删除脚本标记复杂得多。 HTMLPurier由数百个正则表达式组成，是删除javascript的最佳方法，但它并不完美。

Answer 3

这一切都取决于内容来自何处以及内容是什么类型。

例如，如果内容只是您网站上的文字，则可能需要过滤掉HTML，以防万一。