呈现用户生成的HTML或Java脚本为什么会有危险？

Question

我不知道这是非常危险的，但是，谷歌与它的HTML做它和Javascript从谷歌Apps脚本服务（如解释在这里 ，他们用卡哈编译器来“的sanitize和沙箱HTML”）。

我想知道如果让用户使用Jinja2模板编辑HTML ，使他们能够访问某些服务器端变量 ，这些事情将在以后的某个时间呈现，是否会发生任何不好的事情。 会发生什么不好的事情？

观察员：我不在乎用户HTML是否丑陋或是否会破坏页面的其余部分。

Answer 1

允许最终用户编辑HTML或JavaScript可能导致您的网站容易受到XSS的攻击-https://www.owasp.org/index.php/Cross-site_Scripting_(XSS ） 。

如果用户查看其他用户创建的内容，则他们的脚本可能通过将值发送到攻击者的服务器来破坏cookie值或用户会话。

Answer 2

HTML可能会发生不好的事情； 更糟糕的事情可能发生在大多数模板引擎上，包括Jinja2。 就像任意代码执行一样。 这就是为什么有一个沙箱的原因。