javascript - 別のドメインから iframe のコンテンツに対して JavaScript を実行する

Question

これはブラウザによって拒否されていますか？出来ますか？

もしそうなら、それを可能にするブラウザのバグですか? 私はこれに気づきました：

http://html5sec.org

これらのバグを閉じて、Web サイトでの動作を防ぐにはどうすればよいでしょうか? 誰かが別のドメインから JavaScript を実行しようとしているかどうかを検出できますか?

ありがとう。

Answer 1

Javascript は、サーバーではなくブラウザによって実行されます。ユーザーが望む場合は、iframe を使用せずに Web サイトで JavaScript を実行できます。（javascript:alert('hello');アドレスバーに入力してください）。

サイト自体ではなくクライアントで実行されているため、これを停止することはできません。JavaScriptで何をしても、サイトの完全性に影響を与えないようにサイトを設計してください. サーバー側の認証とセッションを使用し、データベース入力をサニタイズし、クライアント側でセキュリティ ベースの操作を行わないでください。