javascript - 对来自不同域的 iframe 内容执行 JavaScript

Question

这被浏览器拒绝了吗？可能吗？

如果是这样，是允许它发生的浏览器错误吗？我注意到了这一点：

http://html5sec.org

您如何关闭这些错误并防止它们在您的网站上运行？我可以检测是否有人试图从另一个域执行 javascript 吗？

谢谢。

Answer 1

Javascript由浏览器执行，而不是服务器。如果用户愿意，他们可以在没有 iframe 的网站上执行 javascript。（javascript:alert('hello');在地址栏中输入）。

您无法阻止这一点，因为它是在客户端上执行的，而不是在您的站点本身上执行的。以一种方式设计您的网站，无论他们使用 javascript 做什么，它都不会影响您网站的完整性。使用服务器端身份验证和会话，清理您的数据库输入，并且不要在客户端执行任何基于安全性的操作。