用户可以在 src属性中执行哪些恶意操作？

Question

我正在开发一个应用程序，用户可以在元素中提供用作src的URL。

我需要注意些什么，以确保恶意用户无法利用此功能？我已经转义了HTML字符（用“]]替换”，依此类推）。

我想知道诸如JavaScript是否从 src属性运行以及其他鲜为人知的危险。

我正在开发一个应用程序，在该应用程序中，用户可以提供一个URL用作元素中的src。我需要注意什么样的事情，以确保恶意用户无法利用...

Answer 1

我认为这里最大的危险只是来自用户选择的实际图像。您可能希望将某些域列入黑名单或为用户提供一些可接受的使用信息，然后再选择图像，以确保它们不会向其他用户显示成人或NSFW内容。解析他们提供的URI并系统地构建图像标签是确保他们无法以任何方式玩游戏的最佳方法。