在来自其他域的iframe内容上执行JavaScript

Question

浏览器拒绝了吗？ 可能吗？

如果是这样，那是浏览器的错误使之发生吗？ 我注意到了这一点：

http://html5sec.org

您如何关闭这些错误并阻止它们在您的网站上运行？ 我可以检测是否有人试图从另一个域执行javascript吗？

谢谢。

Answer 1

Javascript是由浏览器而不是服务器执行的。 如果用户愿意，他们可以在没有iframe的网站上执行javascript。 （在地址栏中输入javascript:alert('hello'); ）。

您不能停止此操作，因为它是在客户端而不是站点本身上执行的。 设计网站的方式无论使用JavaScript做什么，都不会影响网站的完整性。 使用服务器端身份验证和会话， 清理数据库输入 ，并且不要在客户端上执行任何基于安全性的操作。