沙盒，用于保护允许用户上传样式的网站

Sandbox to protect websites that allow users to upload styles

本文关键字：样式 网站 用户 用于 保护 许用户 沙盒      更新时间：2023-09-26

很多网站，如Tumblr，Posterous允许用户上传自己的风格。个人样式可能包含HTML，Javascript和服务器代码。所以我的问题是

  1. 如何防止用户上传恶意服务器代码。

  2. 如何防止用户上传恶意客户端代码 （Javascript）。

我相当了解如何通过限制要使用的函数集来解决（1）。我更关心（2），因为很难过滤不良代码。这些样式可能包含恶意代码，这些代码将用户会话发送到某些外部源，然后伪造其身份。我注意到上传的样式不在外部框架中，因此窃取用户会话似乎是一个明显的问题。

有

没有人对上述问题有更好的了解？

  1. 不允许用户上传服务器代码。
  2. 不允许用户上传客户端代码。
不可能

过滤所有邪恶代码。谷歌正试图在Play商店中做到这一点，并定期证明这一点。

相关文章：