Google Wave和iGoogle如何通过小部件阻止XSS？

Question

如果您使用过Google Wave或iGoogle，您可能已经看到您可以插入未经批准由第三方制作的小部件。我的问题是：如何防止窗体执行XSS或牛排饼干？小部件是否加载在？如果是，那么是什么阻止他们将您重定向到另一个页面？

谢谢

Answer 1

是的，他们使用iframe来托管不受信任的内容。他们无法窃取cookie，因为这些内容位于不同的域（gmodules.com）上，并且浏览器阻止了跨域交互。

关于重定向，托管在iframe中的模块可以更改window.location（但令人惊讶的是，无法读取它）。因此，用户上传模块中的恶意代码可能会将您带到欺骗性Google登录页面，企图窃取您的密码。

Answer 2

据我所知，他们可以将您重定向到另一个页面。

Answer 3

我认为这是因为如果他们这样做，这些小部件将被禁止。

HTML5小组正在使用iframe中的“sandbox”属性处理此问题的真实（技术性而非法律性）解决方案。