【发布时间】：2010-12-18 07:38:25
【问题描述】：
我正在编写一个允许用户输入 CSS 规则的 Rails 应用程序，并且我想限制脚本执行。禁止“绑定”（对于-moz-binding）和“行为”是否足够？它将通过在保存之前调用的简单正则表达式来实现。
还有其他方法可以将脚本包含到 css 样式表中吗？
【问题讨论】：
标签： ruby-on-rails css
【发布时间】：2010-12-18 07:38:25
【问题描述】：
已经一次又一次地证明，黑名单是行不通的。保留一份您可以安全允许的 CSS 白名单。
【讨论】：
【讨论】：
-
ha.ckers.org 消失了。此外，这通常处理脚本标签注入，而不是 XSS-in-CSS。
-
@fahadsadah 我想我应该在添加之前检查我的书签。当天早些时候，我曾访问过我试图链接到的页面。