当允许自定义页眉和页脚时，我们应该剥离JavaScript吗?

Should we strip JavaScript when allowing custom header and footer?

本文关键字：我们剥离 JavaScript 自定义更新时间：2023-09-26

客户希望能够提供他们自己的html页眉/页脚(出于样式原因)，这样当他们重定向到customer123.ourservice.com时，页面看起来就像他们网站的一部分。

出于安全考虑，我们应该在他们的HTML中去掉JavaScript吗?他们能做任何恶意的事情吗(比如，如果这是一台公共计算机，可能会得到另一个用户的会话)?我注意到一些其他网站不麻烦剥离JavaScript…

如果他们可以自定义页眉和页脚，这意味着如果他们想/需要，他们可以添加JS。以一个跟踪器为例。

一般来说，如果恶意用户可以在页脚注入JS，则XSS是一个漏洞，如果您的客户决定这样做，则不是。

在你的例子中，他们使用子域名所以客户可以在你的主域名上设置cookie

https://serverfault.com/questions/153409/can-subdomain-example-com-set-a-cookie-that-can-be-read-by-example-com

这取决于您的cookie中是否有敏感数据。如果你不这样做，一定不会有任何问题。

流程如下:访问者访问子域。他们为主域名设置了一个cookie。他们重定向或访问者自己去你的主域名。你检查cookie里面的值，它可能会被破坏。每个用户都可以更改自己的cookie，但其他用户无法使用。

另一个问题是，如果他们可以设置cookie，它也可以影响其他子域。