接受HTML代码的HTML文本输入真的很糟糕，还是很糟糕？

最近我被要求测试我们公司的内部网站（只有连接到我们网络的电脑才能访问）。我意识到，文本字段输入运行输入的html代码。我的老板说这不是什么大不了的事。我们记录每一个变化，所以在不太可能的情况下，员工做了一些事情，我们会知道。我不是一个Web开发人员，所以我的问题是，是否存在某种恶意，因为这个缺陷可能会对我们的组织产生默默的影响？或者，我的老板是正确的，任何真正的恶意行为都会非常明显并且相当迅速地处理。我们的组织与宗教有关系，并处理大量资金，因此受到关注。接受HTML代码的HTML文本输入真的很糟糕，还是很糟糕？

来源

2015-08-14 Edward

我投票关闭这一问题作为题外话，因为它是关于计算机安全，而不是编程。 – duskwuff

也许这对于http://security.stackexchange.com/来说是一个更好的问题。但作为一般的经验法则，我不会允许任何脚本从用户输入中执行，而无需设置隔离沙箱来运行脚本除非你100％总是信任用户环境。 – joverall22

我不同意这不是编程。这绝对是程序员*应该非常清楚的东西。在你的表单中允许插入代码是不好的编程行为，是程序员*应该拥有的讨论。编辑：我同意部分与joverall22 ...应该避免...虽然我甚至不会在我“100％总是信任用户”的环境中使用它。用户有一种“意外”的做法。 – akuta

是的，这可能是一个问题。如果它运行HTML代码，那么任何攻击者都可以输入他们自己的脚本（使用脚本标记）并运行他们自己的程序（有多糟糕，取决于所做的事情）。如果他们输入的代码保存到网站，并在有人访问该网站的该部分时运行，那么这是一个很大的（呃）交易。他们可以注入他们的恶意代码并影响每个人。它被称为XSS（跨站点脚本）。如果一切都被记录下来，那么它可能会抓住它们，但是直到它被发现以及有多少人受到影响才能成为问题。更多信息请参见下面的链接。

链接：https://en.wikipedia.org/wiki/Cross-site_scripting

来源

2015-08-14 22:30:02 Vexxoz

好的，我没有考虑过运行脚本。这绝对是非常危险的，虽然我喜欢认为我们的员工相当值得信赖，但任何知道这一点的人都会造成相当大的损失。感谢大家，我会和老板讨论解决问题的方法。 – Edward

接受HTML代码的HTML文本输入真的很糟糕，还是很糟糕？

回答

相关问题