css – 允许在我的网页中嵌入任意外部样式表是否安全？

我有一个动态的网页,我希望其他人嵌入他们的网页,使用iframe(不一定使用任何更高级的技术,如 JavaScript).

我不是自己提供各种设计和样式,而是考虑允许他们通过HTTP GET参数为我的页面提供自己的样式表,并通过URL嵌入这样的外部样式表w /< link type =“text / css“rel =”stylesheet“href ...在我的页面上. 这样安全吗？它会违反我网站的安全范例吗？我知道可以单独使用CSS插入额外的文本,并且确实可以删除元素(这是我为用户提供此类功能的全部要点),但我还应该注意什么呢？ 恶意的人可以通过这样的CSS在我的网站上插入链接,从我的http referer中受益并可能违反某些检查,或者CSS插入仅限于文本？

解决方法

在一般情况下,不,allowing third-party CSS is not safe.一些实现允许CSS中的JavaScript,这意味着允许用户修改CSS允许他们在页面的上下文中执行任意JavaScript.

但是,如果这是一个“白标”页面,它似乎是它嵌入的网站的一部分,事实上它真的是你的页面只是一个实现细节,这似乎不像一个主要问题.指定“第三方”CSS的人是网站所有者,因此当时并不是真正的第三方 – 他们不会自己去XSS！

但是没有其他人应该将CSS放在一个意图在你控制之下的页面上,因为它实际上是在控制CSS的人的控制之下.

原文地址：https://www.jb51.cc/css/215016.html