安全風險（XSS）的風格屬性

Question

在我們的應用程序，我們允許HTML從外部音源的顯示，所以才顯示出來，我們清理它。源有點可信，但我們想添加另一個圖層。

我們刪除樣式標籤，但希望保留樣式屬性。我知道腳本可以放在該屬性中，並且想知道這些腳本可以在多大程度上用於XSS。換句話說，允許樣式標籤有哪些具體風險？

Answer 1

與HTML電子郵件共享許多相同的風險。如果您在基於網絡的閱讀器（例如Gmail）中顯示您的HTML電子郵件，則希望確保其無法逃離其容器並嘗試混淆郵件界面本身。因此，在將電子郵件發送給用戶之前，許多樣式都被撕掉了。 Campaign Monitor在不同的郵件客戶端中有一個good guide as to what CSS is allowed and disabled。這可能是一個很好的起點。