在网站中安全嵌入代码

Question

我正在创建一个允许用户创建广告、应用程序等的网站。可以将其想象为 Adsense 用于广告，Facebook 应用程序用于应用程序。

因此，我允许用户使用提供的工具或通过他们自己的 HTML 代码以他们想要的方式创建广告或应用程序，然后这些代码将在网站中呈现为广告和应用程序以供其他用户查看。

我的问题：

1) 当我允许用户添加自己的代码并嵌入网站时，我的网站是否会面临安全风险？ （我不确定，但我认为他们将能够在 javascript 中添加一些恶意代码）

2) 如果我考虑使用 iframe 将嵌入代码与网站的其他部分隔离开来，那会是个问题吗？或者有没有更好的方法来做到这一点？

我想要达到的目标：

在网站中呈现用户生成的自定义 HTML、CSS 代码而不影响安全性的某种元素。

Answer 1

根据他们被允许制作的广告或应用的类型以及他们可以使用的语言，您可能会在某些方面面临风险，尤其是在其他用户可以看到的情况下。

假设他们可以使用 html 并添加此代码

<img src='fake.jpg' onerror='alert("xss");'>

在这种情况下，您所有可以看到这一点的用户都会受到 xss 攻击。如果是这种情况，请参阅此帖子-> How can I allow my user to insert HTML code, without risks?

我不推荐服务器端语言，虽然 iframe 本身可能更安全，但同样适用，尤其是当您的域托管 iframe 时。如果 iframe src 与显示 iframe 的域位于同一域中，则您可以放弃任何可能假装提供的安全 iframe。

最好的解决方案是提供您自己的所见即所得编辑器，将您的特殊代码转换为 html 代码。允许 JS 将成为您要考虑以安全的方式做的事情，这可以通过创建自己的包装器（甚至将一系列 jquery 函数包装在一个包装器中）并将它们巧妙地包含在您的所见即所得中来完成。