是否可以通过@import 实现 XSS，如果可以，如何实现？有没有办法防止它？

Question

我们允许通过我们的 CMS 中的自定义 CSS 编辑器使用 @import，但我想知道我们这样做是否已经暴露了潜在的安全风险，它可以用于 XSS 吗？

如果是这样，那将如何发挥作用？此外，我们如何保护自己免受此类攻击？

仅供参考，我们实际上并没有在自定义 CSS 中保留 @import 语句，而是通过 preg_replace_callback() 将它们删除，并通过 file_get_contents() 替换为它们的实际目标内容。这样 CSS 仍然可以被缓存并且不会阻止页面加载，但可能让我们有机会过滤使用的 URL，甚至是返回的内容。

---

编辑：

在@duskwuff 的快速教育之后，很明显提供该服务存在很多潜在问题，但看起来类似的问题和答案（此处：https://stackoverflow.com/a/5209050/1058733）表明使用 HTMLPurifier + 可以非常安全地完成它CSSTidy 清理 CSS 输入，这将在 file_get_contents() 之后和缓存之前完美地适合我们的脚本，另外在保存对象过程中也是如此。

Answer 1

是的。一般来说，CSS 是不安全的——它可以通过多种方式注入 Javascript 代码，包括但不限于：

• Dynamic properties（expression() - 在 Internet Explorer 7 及更早版本中）
• DHTML behaviors（behavior - 在 Internet Explorer 中）
• XBL bindings（在基于 Gecko 的浏览器中）

根据您网站的性质，不受限制的 CSS 还可用于通过将页面内容重新格式化为密码提示符来窃取用户的密码，或者通过重新格式化或隐藏页面的重要组件来拒绝访问该网站（例如，隐藏“登录”链接）。

除非您准备好对其进行全面解析并根据已获批准的属性和选择器的白名单对其进行验证，否则请勿让用户输入将在您的网站上使用的 CSS。