<span style = ...>是否安全衛生？

Question

我正在使用富文本編輯器（CKEditor），我有機會讓用戶創建顯示給其他用戶的配置文件。

許多屬性CKEditor的可以控制的，當我顯示它們正在喪失：

<%= sanitize(profile.body) %> 

我的問題是：是否有安全允許屬性「風格」將被解析？這將允許顯示文本顏色，大小，背景顏色，居中，縮進等內容。我只是想確保它不會讓黑客訪問我不知道的東西！

Answer 1

是否可以安全地允許解析屬性'style'？

號

background-image: url(javascript:[code]); 
width: expression([code]);     /* ie */ 
behavior: url([link to code]);    /* ie */ 
-moz-binding: url([link to code]);   /* ff */ 

更不用說像在一個真正的人或事物虛假的登錄表單將UI欺騙攻擊。哈哈！