问HTML游乐场

EN

在HTML游乐场中，您希望用户能够执行任意代码，也可以在其他人访问时执行--设计持久的XSS。但是，您需要确保用户的代码在与站点的用户界面不同的安全上下文中运行。您可以通过使用iframe来实现这一点：

• 用户生成的内容可以运行在与您站点的其他部分不同的原产地上。
  • 无法访问主站点cookie
  • 主站点可以使用限制性内容安全策略
  • 但是你仍然需要通常的XSRF防御

• iframe可以声明适当的allow="..."特性策略和sandbox="..."属性。
  • 例如，您可以禁用全屏访问。

请注意，HTML游乐场在许多方面与宿主服务是无法区分的。除了技术上的安全措施，你可能也想考虑一下反滥用的措施。