在來自其他域的iframe內容上執行JavaScript

Question

瀏覽器拒絕了嗎？ 可能嗎？

如果是這樣，那是瀏覽器的錯誤使之發生嗎？ 我注意到了這一點：

http://html5sec.org

您如何關閉這些錯誤並阻止它們在您的網站上運行？ 我可以檢測是否有人試圖從另一個域執行javascript嗎？

謝謝。

Answer 1

Javascript是由瀏覽器而不是服務器執行的。 如果用戶願意，他們可以在沒有iframe的網站上執行javascript。 （在地址欄中輸入javascript:alert('hello'); ）。

您不能停止此操作，因為它是在客戶端而不是站點本身上執行的。 設計網站的方式無論使用JavaScript做什么，都不會影響網站的完整性。 使用服務器端身份驗證和會話， 清理數據庫輸入 ，並且不要在客戶端上執行任何基於安全性的操作。