安全方面，顯示<img>源於.html擴展名是否安全？

Question

作爲這方面的無知，我打電話約多所社區教育我在此。

在社區留言板上允許帶有.html擴展名的<img>源安全嗎？我看到的一個例子是有人採購了這些圖像中的20個，這些圖像在頁面上呈現時會輸出查看器位置的字母。

Answer 1

如果您希望您可以執行PHP作爲圖像的一部分（這是如何顯示有關遠程框的信息，通過使用PHP動態生成圖像）;類似地，您可以強制服務器爲具有隨機擴展名（包括.html）的正確標頭的圖像提供服務。

所以限制了img標籤擴展真的會什麼都做不好;它總是在圖像的上下文中執行，瀏覽器期望一個圖像，並且如果返回了其他內容，它將不會呈現。這些事情唯一重要的可能是CSRF漏洞，因爲無論圖像的有效性如何，瀏覽器總是會請求目標網址，所以你可以強制某人在查看你的頭像時註銷（以最簡單的形式把http://thecurrentsite.com/?logout作爲你的頭像）。 因此總的來說，你不需要擔心代碼注入，但是即使你使用的是請求令牌，最好限制可能被插入的URL的變化性（禁止本地URL，頁面片段標識符等） 。