如何使用 acure 样式在浏览器中安全地显示电子邮件？答案

【问题标题】：How can I display email in the browser securely with acure styling?如何使用 acure 样式在浏览器中安全地显示电子邮件？
【发布时间】：2011-07-24 13:51:33
【问题描述】：

我目前正在开发一个应用程序，其中包括在 web gui 中显示电子邮件的功能，现在我想知道在 web 浏览器中显示电子邮件的最佳做法是什么，首先我认为我应该使用 iframe，但是什么时候查看主要网络邮件客户端的来源，他们似乎没有使用 iframe，所以这就是我在这里问的原因。我担心邮件中的样式和脚本会影响我网站的其他部分（也包括 xss），但我仍然希望邮件按照预期的方式显示。

【问题讨论】：

标签： html email security web webclient

【解决方案1】：

主要（网络）邮件客户端将删除您的部分代码。像表格中的背景图像、应用于 body 标记的样式、删除 javascript 等。他们这样做是为了确保不会影响他们自己的设计和功能。

你必须这样做。

您肯定会有一个 div 用于放置已清理的电子邮件正文。您如何清理电子邮件正文取决于您是否同意...

【讨论】：

它们通常从 CSS 和邮件正文以及脚本标签中过滤任何远程 URL，以防止 CSRF 和 XSS 攻击。这意味着“没有图像”。但是，他们通常会在警告可能的有害影响后离开按钮以启用它们。
是否有任何好的库/类可以轻松处理其中的一些问题，或者我应该从头开始？还有样式标签呢，如果它们包含与我的样式冲突的样式，那不会造成问题吗？
关于css移除，类定义经常被移除（例如

【解决方案2】：

大多数网络客户端不接受电子邮件中的 CSS、html 或图像，所以这对他们来说不是问题。另外，如果您确实使用 CSS，我认为 Iframe 是一个可行的选择。

如果没有，只需让你的 css 类名独一无二，并希望做到最好。

【讨论】：