我正在使用 jQuery 构建一个显示电子邮件的网页。电子邮件是从 REST 服务读取的，可以是纯文本或 html 格式。
到目前为止，我测试过的所有 html 格式的邮件都只有正文内容 - 即没有 <html> 或 <head> 或 <body>。今天我收到一封 html 格式的邮件，里面有一个完整的文档。头部和身体标签被过滤掉（大概是浏览器），但我的问题是邮件使用的样式是从发件人的网站获取的。
这引发了一系列关于安全性等问题。我的应用是否应该允许此类链接？我应该提取link 和script 标签并将它们插入我的页面head 吗？
还有类似iframe的解决方案吗？
【问题讨论】：
标签： javascript jquery html email
你真的应该拒绝这些脚本。
无论如何，您当然可以动态加载/填充 iframe。只需更新其src。 iFrame 不是一种安全保险思想。
注意：您的问题不是代码问题。不应在 IMO 此处发布。
【讨论】：
我认为您应该使用 iframe 来显示邮件的内容。这样您就可以依赖浏览器的安全功能并缓解 XSS 漏洞。
发送您的 HTML 内容的服务应去除脚本标签，并设置 content-security-policy 标头以禁用内联脚本。
即使您希望允许在电子邮件中执行脚本（我不假设），iframe 也比将邮件内容注入您自己的 DOM 提供更好的隔离。
【讨论】：
script 的情况下发生。此外，“脚本”在客户端执行。它可以做什么，比如展示色情内容、不公平的东西，或者窃取本地信息？本地存储。
iFrame 提供很少的隔离 - 至少它隔离 css 样式... - 实际上。 XSS 可以在没有script 的情况下发生。此外，script 在客户端执行。它可以做什么，比如展示色情内容、不公平的东西，或者窃取本地信息？本地存储？显示html 对您的系统来说真的很少有危险。 XSS 在表单中起作用，表单是有针对性的原因 - 背后 - 有数据库进程。但是如果你只显示html，omg，你可以保持冷静。只需删除脚本即可，因为没有理由在邮件中包含脚本
而且没有必要感到害怕，因为任何人都在谈论 SQL 注入、XSS 等等。说没有表格，没有ajax，就你而言，这很荒谬，对不起，回答有风险。 您无需担心显示 HTML。节省您的时间。
【讨论】：