接受HTML代碼的HTML文本輸入真的很糟糕，還是很糟糕？

最近我被要求測試我們公司的內部網站（只有連接到我們網絡的電腦才能訪問）。我意識到，文本字段輸入運行輸入的html代碼。我的老闆說這不是什麼大不了的事。我們記錄每一個變化，所以在不太可能的情況下，員工做了一些事情，我們會知道。我不是一個Web開發人員，所以我的問題是，是否存在某種惡意，因爲這個缺陷可能會對我們的組織產生默默的影響？或者，我的老闆是正確的，任何真正的惡意行爲都會非常明顯並且相當迅速地處理。我們的組織與宗教有關係，並處理大量資金，因此受到關注。接受HTML代碼的HTML文本輸入真的很糟糕，還是很糟糕？

來源

2015-08-14 Edward

我投票關閉這一問題作爲題外話，因爲它是關於計算機安全，而不是編程。 – duskwuff

也許這對於http://security.stackexchange.com/來說是一個更好的問題。但作爲一般的經驗法則，我不會允許任何腳本從用戶輸入中執行，而無需設置隔離沙箱來運行腳本除非你100％總是信任用戶環境。 – joverall22

我不同意這不是編程。這絕對是程序員*應該非常清楚的東西。在你的表單中允許插入代碼是不好的編程行爲，是程序員*應該擁有的討論。編輯：我同意部分與joverall22 ...應該避免...雖然我甚至不會在我「100％總是信任用戶」的環境中使用它。用戶有一種「意外」的做法。 – akuta

是的，這可能是一個問題。如果它運行HTML代碼，那麼任何攻擊者都可以輸入他們自己的腳本（使用腳本標記）並運行他們自己的程序（有多糟糕，取決於所做的事情）。如果他們輸入的代碼保存到網站，並在有人訪問該網站的該部分時運行，那麼這是一個很大的（呃）交易。他們可以注入他們的惡意代碼並影響每個人。它被稱爲XSS（跨站點腳本）。如果一切都被記錄下來，那麼它可能會抓住它們，但是直到它被發現以及有多少人受到影響才能成爲問題。更多信息請參見下面的鏈接。

鏈接：https://en.wikipedia.org/wiki/Cross-site_scripting

來源

2015-08-14 22:30:02 Vexxoz

好的，我沒有考慮過運行腳本。這絕對是非常危險的，雖然我喜歡認爲我們的員工相當值得信賴，但任何知道這一點的人都會造成相當大的損失。感謝大家，我會和老闆討論解決問題的方法。 – Edward

接受HTML代碼的HTML文本輸入真的很糟糕，還是很糟糕？

回答

相關問題