允許用戶在其子域上添加javascripts

Question

我正在使用CakePHP 2.6。我想創建一個像博主（blogspot）這樣的網站，其中每個註冊用戶都有其子域，並且可以添加其文章添加javascript代碼。

是否可以讓註冊用戶在他們的子域名上添加javascripts？

感謝

Answer 1

是是安全的，允許註冊用戶在其 子域添加JavaScript的？

如果完成對是的。搜索JSONP，CSRF，XSS，CORS和same origin policy。

我顯然不打算在一個答案中解釋所有這些，對於這個地方來說這是遠遠不夠的。

Answer 2

允許來自不受信任來源的任意JavaScript，Flash和其他活動內容（例如iframe等）存在安全風險。通過使用跨站點腳本（XSS），JavaScript和其他活動內容可用於惡意目的。

允許來自不受信任的源的JavaScript引起了過去的問題（其中最着名的例子之一是MySpace XSS worm）。

有關XSS的概述，我建議你看看Acunetix的following resource。