Google Wave和iGoogle如何通過小部件阻止XSS？

Question

如果您使用過Google Wave或iGoogle，您可能已經看到您可以插入未經批准由第三方製作的小部件。我的問題是：如何防止窗體執行XSS或牛排餅乾？小部件是否加載在？如果是，那麼是什麼阻止他們將您重定向到另一個頁面？

謝謝

Answer 1

是的，他們使用iframe來託管不受信任的內容。他們無法竊取cookie，因爲這些內容位於不同的域（gmodules.com）上，並且瀏覽器阻止了跨域交互。

關於重定向，託管在iframe中的模塊可以更改window.location（但令人驚訝的是，無法讀取它）。因此，用戶上傳模塊中的惡意代碼可能會將您帶到欺騙性Google登錄頁面，企圖竊取您的密碼。

Answer 2

據我所知，他們可以將您重定向到另一個頁面。

Answer 3

我認爲這是因爲如果他們這樣做，這些小部件將被禁止。

HTML5小組正在使用iframe中的「sandbox」屬性處理此問題的真實（技術性而非法律性）解決方案。