通过img 标签包含外部图像会在我的网站上出现哪些安全漏洞以及如何避免这些漏洞？
我目前只检查提交时图像的扩展名和mime-type（可以在提交URL 后更改），并且在将src 属性放入之前对URL 进行了清理。
【问题讨论】：
标签： php image security xss csrf
这里可能需要区分谁处于危险之中。
如果您所做的只是存储 URL，而不是将图像上传到您的服务器，那么您的网站可能是安全的，任何潜在的风险都会对查看您网站的用户造成。 p>
实质上，您信任浏览器制造商的可靠性。事情可能没问题，但如果您的用户使用的某个浏览器出现安全漏洞，涉及错误解析包含恶意代码的图像，那么最终将由您的用户为此付费（你可能会觉得 GIFAR 很有趣）。
这取决于您是否信任浏览器制造商制造安全软件，以及您是否信任您的用户不会将 URL 上传到可能包含某些浏览器漏洞利用的图像。现在可能安全的东西在下一个版本中可能不安全。
【讨论】：
可能暴露的主要漏洞是损坏的图像导致浏览器中的缓冲区溢出，从而允许任意代码执行。
如果您只是将图像放入<img> 标记中，那么不应该存在与发送替代 MIME 类型相关的任何漏洞，但永远不要低估某些 Web 浏览器开发人员的愚蠢。 .
【讨论】：
嗯，很明显，您没有对数据进行任何检查，因此数据可以是任何东西（远程服务器报告的 mime 类型不一定是真话）。另外，正如您所说，远程服务器上的数据可以更改，因为您在提交后从不查看它。
因此，如果将链接放入让我们说 ，那么浏览器在图像处理中可能存在的任何漏洞都可以被利用。
“清理”URL 没有任何帮助：提交指向“坏”图像的链接的人不会攻击他自己的服务器。
【讨论】：