如何安全地允许用户将javascript添加到您的域上的页面

How to securely allow users to add javascript to a page on your domain

本文关键字：添加 javascript 用户 安全 何安全 许用户      更新时间：2023-09-26

我很想知道如何让用户在不打开安全漏洞的情况下将javascript添加到应用程序的页面中。

很长一段时间我认为这是不可能的，但是我尝试了托管电子商务产品Tictail，他们的定制工具允许您添加任何您想要的标记和javascript。我很好奇他们是如何做到这一点而不容易受到攻击的。

下面是我添加到页面中的一些测试脚本，以及结果。

<script>
  alert(document.cookie)
</script>

工作，并触发警报-页面会运行任何东西吗?

<script>
    document.body.style.display = 'none';
</script>

不起作用—脚本标签按原样加载在页面中，但是控制台显示错误:Uncaught TypeError: Cannot read property 'style' of null

谢谢你的建议。

让用户添加HTML或脚本，如果它们只提供给创建它们的同一个人，这是不安全的吗?

我

保证打赌这个电子商务产品不会让你向其他用户提供任意的html/脚本。

你的网页的任何用户(s)可以随时添加任何脚本/html页面在他们的一边。XSS脚本就是让用户插入HTML/脚本，然后将其提供给其他用户。只要看看像Grease monkey或firebug这样的工具就知道了。

相关文章：