用户上传的CSS安全吗？

Question

有人用户上传的CSS可以做些什么来伤害网站吗？如果我想允许用户上传/分享他们自己的CSS主题到网站,有什么我应该寻找或禁止？

编辑:假设我知道如何检查它是否是一个有效的CSS文件等.我正在寻找我需要避免的CSS特定漏洞利用.

Answer 1

即使您解析文件中的有效 CSS，黑客仍然可能通过使用:before 和 :after之类的内容进行恶意攻击。为了确保安全性，您需要在验证中将 css 属性和选择器的子集列入白名单。