Я создаю веб-приложение, которое содержит IFrame в режиме разработки, чтобы мой пользователь мог «переписать» свой контент и вставить контент, который будет отображаться на их странице. Как и редактор WYSIWYG на большинстве блогов и форумов.
Я пытаюсь вспомнить все потенциальные дыры в безопасности, которые мне нужно закрыть, одна из которых - вставка пользователем в Javascript:
<script type="text/javascript">
// Do some nasty stuff
</script>
Теперь я знаю, что могу удалить это на стороне сервера, прежде чем сохранить его и / или отправить его обратно, но меня беспокоит возможность того, что кто-то сможет вставить какой-нибудь скрипт и запустить его тут же, даже не отправляя его обратно на сервер для обработки.
Я беспокоюсь ни о чем?
Любой совет был бы замечательным, не мог найти много, ища Google.
Anthony