<span style = ...>是否安全卫生？

Question

我正在使用富文本编辑器（CKEditor），我有机会让用户创建显示给其他用户的配置文件。

许多属性CKEditor的可以控制的，当我显示它们正在丧失：

<%= sanitize(profile.body) %> 

我的问题是：是否有安全允许属性“风格”将被解析？这将允许显示文本颜色，大小，背景颜色，居中，缩进等内容。我只是想确保它不会让黑客访问我不知道的东西！

Answer 1

是否可以安全地允许解析属性'style'？

号

background-image: url(javascript:[code]); 
width: expression([code]);     /* ie */ 
behavior: url([link to code]);    /* ie */ 
-moz-binding: url([link to code]);   /* ff */ 

更不用说像在一个真正的人或事物虚假的登录表单将UI欺骗攻击。哈哈！