Выполнение JavaScript для содержимого iframe из другого домена

Question

Это отклонено браузером? Является ли это возможным?

Если так, то это ошибки браузера, которые позволяют этому случиться? Я заметил это:

http://html5sec.org/

Как вы можете закрыть эти ошибки и предотвратить их работу на вашем сайте? Могу ли я обнаружить, если кто-то пытается выполнить JavaScript из другого домена?

Благодарю.

Answer 1

Javascript выполняется браузером, а не сервером. Если пользователь хочет, он может выполнить javascript на веб-сайте без iframe. (Тип javascript:alert('hello'); в адресной строке).

Вы не можете остановить это, потому что это выполняется на клиенте, а не на вашем сайте. Дизайн вашего сайта таким образом, что независимо от того, что они делают с JavaScript, это не может повлиять на целостность вашего сайта. Используйте проверку подлинности и сеансы на стороне сервера, очистите входные данные базы данных и не выполняйте никаких операций на стороне клиента на стороне клиента.