GWT HTML Widget XSS安全
可能是一个不好的问题(很有可能),但根据官方开发者文档,GWT的HTML小部件不是XSS安全的,并且在嵌入自定义HTML /脚本文本时必须谨慎。GWT HTML Widget XSS安全
,所以我想我的问题是,为什么这样的:
HTML testLabel = new HTML("dada<script type='text/javascript'>document.write('<b>Hello World</b>');</script>");
没有表现出JavaScript弹出?如果以某种方式,GWT的HTML小部件确实能够抵御XSS攻击,那么在什么情况下它不会(所以我可以知道会发生什么)?
GWT文档包含几个articles关于安全性(包括使用SafeHtml处理XSS)。
您的示例不起作用,因为通过innerHTML
定义的脚本未在Chrome/Firefox中执行(我认为对于使用defer
属性的IE有一些解决方法)。
但是,您不应该依赖此浏览器限制。因此,最好使用SafeHtml并始终验证来自用户的输入。
完美,谢谢。 – user1021138 2012-04-13 12:55:02
我不太了解这个小部件,但总的来说,值得一提的是,XSS载体在许多口味。实际上只有一小部分使用script
标签。
一个非常重要的因素是它们是位置依赖的。例如,任何标签外的xss-safe字符串,在标签的属性值内或在JavaScript块内的分隔字符串内可能都不安全。
它们也可能依赖于浏览器,因为许多漏洞都是在文档分析模型中使用“错误”。
非常感谢你,非常有用的语言不可知的资源! – user1021138 2012-04-13 11:26:18
看到类似的帖子在这里:[SafeHTml](http://*.com/questions/6177329/gwt-safehtml-xss-best-practices) – Shehzad 2012-04-13 11:21:24