GWT HTML控件的安全隱患

在GWT的javadoc，我們建議GWT HTML控件的安全隱患

如果你只需要一個簡單的標籤（文字，而不是HTML），則標籤控件是比較合適的，因爲它不允許使用HTML，如果沒有正確使用，可能導致潛在的安全問題。

我想教育/提醒有關安全的敏感性。列出這些風險機制的描述將很好。

對於GAE vs亞馬遜vs我的家庭Linux服務器，敏感性同樣有效嗎？
它們在瀏覽器品牌中同樣有效嗎？

謝謝。

使用HTML小部件的安全風險是它不會像標籤小部件那樣轉義html字符。這開啓了Cross-site scripting (XSS)的可能性。因此，您不應該使用它來顯示用戶提供的數據。在代碼中使用它可以用於字符串文字本身是有風險的。

您的GWT項目如何部署對安全風險無關緊要，因爲無論如何，如果您允許用戶提供的數據未經過轉換打印，風險仍然存在。但您的網站如何使用，例如用戶貢獻了多少內容，以及您的網頁的受歡迎程度對於某人真正利用弱點的可能性有很大影響。

雖然...如果您有使用標籤在您自己的源代碼中輸入惡意javascript的習慣無論如何不會幫助...：P

2010-03-16 12:27:19

回答