GWT HTML控件的安全隐患

在GWT的javadoc，我们建议GWT HTML控件的安全隐患

如果你只需要一个简单的标签（文字，而不是HTML），则标签控件是比较合适的，因为它不允许使用HTML，如果没有正确使用，可能导致潜在的安全问题。

我想教育/提醒有关安全的敏感性。列出这些风险机制的描述将很好。

对于GAE vs亚马逊vs我的家庭Linux服务器，敏感性同样有效吗？
它们在浏览器品牌中同样有效吗？

谢谢。

使用HTML小部件的安全风险是它不会像标签小部件那样转义html字符。这开启了Cross-site scripting (XSS)的可能性。因此，您不应该使用它来显示用户提供的数据。在代码中使用它可以用于字符串文字本身是有风险的。

您的GWT项目如何部署对安全风险无关紧要，因为无论如何，如果您允许用户提供的数据未经过转换打印，风险仍然存在。但您的网站如何使用，例如用户贡献了多少内容，以及您的网页的受欢迎程度对于某人真正利用弱点的可能性有很大影响。

虽然...如果您有使用标签在您自己的源代码中输入恶意javascript的习惯无论如何不会帮助...：P

2010-03-16 12:27:19

回答