在CSS中限制腳本執行

Question

我正在寫一個允許用戶輸入CSS規則的rails應用程序，並且我想限制腳本執行。是否禁止'綁定'（對於-moz綁定）和'行爲'就夠了？它將用保存之前調用的一個簡單的正則表達式來實現。

是否有其他方法將腳本包含到CSS樣式表中？

Answer 1

一次又一次證明黑名單不起作用。保留可安全允許的CSS白名單。

Answer 2

XSS有許多方法。這裏有一個cheat sheet。

這是一個完整的清單嗎？

從未

足夠的創造性的攻擊者會發現你的微不足道的解析器獲得的一種方式。