security - 像 neocities 这样的网站建设者如何处理跨站点脚本和清理？

Question

在 Neocities 编辑器中，似乎可以输入易受攻击的文本，这将在浏览器中运行（如下图所示的 onload 警报）。Neocities 是否有任何安全措施来清理用户生成的页面并解决漏洞？

Answer 1

如果站点是从不同的域加载的，那么它们就无法从彼此读取数据，因此用户站点内容可以从彼此不同的域加载并与主帐户页面分开。

您可以在自己的站点上控制 JavaScript，但如果您不能使用它在不同站点的上下文中运行，那么它不是漏洞。