Facebook Javascript SDK приводит к блокировке XSS на IE8 во время публикации потока

Question

Мы недавно переключили наш js-код на Facebook, чтобы использовать новый javascript SDK. Ранее потоковая публикация правильно делилась на стене пользователя во всех браузерах, но с новым js любая публикация потока, выполненная в IE8, запускает XSS-фильтр IE, и публикация не может быть общей.

Существуют ли обходные пути или известные причины того, почему IE8 действует таким образом во время публикации потока?

Answer 1

Это определенно зависит от данных, которые передаются на стену. Если «странных» символов слишком много, то IE считает, что это атака с использованием межсайтовых сценариев.

Кажется, что международные символы особенно проблематичны: http://forum.developers.facebook.net/viewtopic.php?pid=324133

Для меня не было международных символов, и это все еще терпело неудачу. Когда я изменил URL, чтобы в нем не было вопросительных знаков или амперсандов, предупреждение IE XSS прекратилось.

Я бы рекомендовал избегать любых не ascii-печатаемых символов в заголовке или описании поста и использовать как можно меньше не алфавитно-цифровых символов в ваших URL. Некоторые разработчики говорят, что Facebook может исправить это, если они добавят заголовок

X-XSS-Protection: 0

к некоторым из их ответов HTTP. Вы можете проголосовать за эту ошибку, если вы хотите, чтобы Facebook решил эту проблему с их стороны: http://bugs.developers.facebook.net/show_bug.cgi?id=12912

Answer 2

Мне удалось исправить это, используя устаревший объект вложения при создании потока публикации. Weird ...