使用数据URI方案和img标记进行攻击

Question

是否有人知道使用<img src =“data：xxxxx”>用户提供内容的任何安全问题？ 假设内容已经过验证，因此它符合数据URI的格式，因此它不会突破标记，也仅限于图像mime类型。

http://en.wikipedia.org/wiki/Data_URI_scheme

Answer 1

肯定有不同的代码，但它可能不会比普通的img链接更具攻击性。

Answer 2

我认为这应该是安全的。 由于图像的数据URI语法非常严格：

data:image/<subtype>;base64,<base64-stream>

它很容易验证（参见例如RegEx来解析或验证Base64数据 ）。

我能想到的唯一漏洞是在解析/渲染图像的组件中。