用户上传 html ，然后需要预览 如果用 xss 这个库过滤一下的话 hrml 里面的 js 和 css 都没了 有什么方法可以完整展示 html 然后避免 xss 攻击的危险？ 现在想的是单独用一个 nodejs 服务渲染，这样有风险吗
This topic created in 1703 days ago, the information mentioned may be changed or developed.
 |
cozofMar 14, 2022 via iPhone
1
只要预览？写一个程序 调用无头浏览器打开 html 并截图。
|
 |
2
@cozof 要网页打开……
|
|
3
是这样，用户在网页上传一个 html 文件，用户不想下载了以后再打开文件，就要在网页上能预览
|
 |
4
最简单有效的方法就是用一个专用域名去打开预览页面，比如你的域名是 v2ex.com ，用户内容放到 example.com
|
1 |
cozofMar 14, 2022 via iPhone
5
允许 js 、css 的情况下想防 xss 几乎是不可能的。
|
 |
TomVistaMar 14, 2022
6
iframe 啊....
|
 |
vivipureMar 14, 2022
7
如果只是个人用户上传，且只有上传者可以看到该页面的话。不做处理也可以，主要看业务需求吧
|
 |
mctgytMar 14, 2022
8
几乎不可能
|
 |
ysc3839Mar 14, 2022 via Android
10
iframe sandbox 也许可行
|
 |
dcsuibianMar 14, 2022
11
iframe 啊，基本就是当沙盒用
|
 |
dddd1919Mar 15, 2022
12
想预览 html ，直接双击在浏览器打开不就好了么，在线预览 html 。。。。。。。
|
Select Language