用户可以在 <img> src 属性中执行哪些恶意操作？

Question

我正在开发一个应用程序，用户可以在其中提供一个 url 用作 元素中的 src。

我需要注意哪些事项才能确保恶意用户无法利用此功能？我已经在转义 HTML 字符（将 " 替换为 " 等等）。

我想知道 JavaScript 是否从 src 属性运行以及其他鲜为人知的危险。

Answer 1

我认为这里最大的危险只是来自用户选择的实际图像。您可能希望在用户选择图像之前将某些域列入黑名单或提供一些可接受的使用信息，以确保他们不会向其他用户显示成人或其他 NSFW 内容。解析他们提供的 URI 并系统地构建图像标签是确保他们无法以任何方式欺骗系统的最佳方式。