【转载】HTML5有效提升iFrame安全性 新增Sandbox属性

标签： HTML5 技术博文 HTML5热点关注 | 发表时间：2012-07-05 12:42 | 作者：HTML5研究小组
出处：http://www.mhtml5.com

HTML 5将针对iframe元素增加sandbox属性，可以防止不信任的Web页面执行某些操作。HTML 5规范的编辑Ian Hickson谈到了sandbox的好处，它可以防止如下操作：

  • 访问父页面的DOM（从技术角度来说，这是因为相对于父页面iframe已经成为不同的源了）
  • 执行脚本
  • 通过脚本嵌入自己的表单或是操纵表单
  • 对cookie、本地存储或本地SQL数据库的读写

HTML 5的修订历史页面还提到了sandbox的其他特性：

  • 禁用插件
  • 禁止其他浏览上下文的导航
  • 禁止弹出窗口和模式对话框
  • iFrames因安全问题而臭名昭著，这主要是因为iFrames常常被用于嵌入第三方内容，而后者则可能会执行某些恶意操作。
  • sandbox通过限制被嵌入内容所允许的操作而提升iFrames的安全性。这种方式将沙箱内容与父页面进行了分离，因此限制了被嵌入内容的权限。

与sandbox一起出来的还有其MIME类型：text/html-sandboxed。Hickson说到：

  • 使用HTML5构建下一代的Web Form
  • HTML5标准最新技术预览
  • HTML5特性增强 Adobe发布AIR2.0测试版本
  • HTML5网页3D技术标准发布 无需插件即可..
  • HTML5 File API初探 支持文件拖放上传功..

text/html-sandboxed MIME类型确保用户不会访问到不可信的内容。它包含两部分内容：首先，如果用户直接访问页面时，浏览器不可以渲染那些具有text/html- sandboxed MIME类型的页面。目前所有浏览器都支持这一点，这些浏览器会下载页面的标记但不会渲染页面；其次，支持sandbox属性的浏览器需要渲染具有 text/html-sandboxed MIME类型的iframes（但会受到sandbox属性中所设定的权限限制）目前为止，还没有浏览器实现这一点，Google Chrome也是如此（它会渲染父页面，但却下载iframe内容而非在iframe中对其进行渲染）。因此目前还没法使用该项技术，除非Google更新Chrome以支持这一点（从理论上来说，其他的浏览器厂商在实现了对sandbox属性的支持后就会实现该技术，让我们拭目以待吧）。

目前，只有Google Chrome 4.0使用了sandbox，Firefox、IE8和Safari都还没有实现这一点，但相信不久之后这些浏览器都会实现的。围绕着HTML 5 <video>元素发生了很多事情，Google通过H.264标准对其进行实现，而其他浏览器则使用了不同的标准或是干脆还没有实现。但这种情况不会发生在这里，因为每个浏览器都可以在内部自由决定如何实现sandbox。但即便是明天所有的主流浏览器都采用了sandbox，众多的开发者和内容管理者也不能立刻就使用它，因为还有那么多的遗留浏览器会忽略掉该属性，因此稳妥的办法还是采取常规的安全手段来保护iFrames。

转载自： http://www.lamppr.com/node/924

 

相关 [html5 有效 提升] 推荐：

【转载】HTML5有效提升iFrame安全性 新增Sandbox属性

- - HTML5研究小组
HTML 5将针对iframe元素增加sandbox属性，可以防止不信任的Web页面执行某些操作. HTML 5规范的编辑Ian Hickson谈到了sandbox的好处，它可以防止如下操作：. 访问父页面的DOM（从技术角度来说，这是因为相对于父页面iframe已经成为不同的源了）. 通过脚本嵌入自己的表单或是操纵表单.

提升自我的14个有效途径

- - 5time经典语录网
在成长生活中，我一直在寻找能够提升自我的方法途径. 我已经找到了14个最好的技巧可以帮助你更好的提升自我. 其中有一些简单方法步骤你可以立即开始去做，还有一些更大的计划你需要更多的努力去完成. 你读的书越多，你就会变得更加有智慧. 博华看过的《建立你的时间资本》、《要事第一》、《世界上最伟大的推销员》等等都是很好的书，可以帮助你认识自己.

HTML5 logo 发布

- Greyby - 酷壳 - CoolShell.cn
2011年1月19日，W3C发布了HTML5的log，打开W3C的页面，下在的图片印入眼前. 我的第一感觉，就像是看到了小时候看的八一电影制片产的电影. 这分明是号召全世界的无产Web程序员们团结起来，不畏艰难，不怕牺牲，一定要把HTML5的革命事业进行到底. 所以，请各位Web程序员不但在你们的HTML5的网页上加上下面的徽章（关于各个徽章的含义，请参看这里）.

html5 canvas入门

- - Marshal's Blog
可以把canvas看做div，不过，它的长和宽不能通过css来定义，要使用标签属性：. 或者javascript对象属性设置：. 使用canvas，只有一种操作方式，使用javascript. 获得canvas对象的上下文对象，该对象是操作canvas的主要对象：. 使用canvas画最简单的线， 点击运行示例，结果看起来是这样：.

HTML5新特性

- - CSDN博客推荐文章
 通过fillStyle和strokeStyle 属性可以轻松的设置矩形的填充和线条. 颜色值使用方法和CSS 一样：十六进制数、rgb()、rgba() 和 hsla. 通过 fillRect可以绘制带填充的矩形. 使用 strokeRect 可以绘制只有边框没有填充的矩形. 如果想清除部分 canvas可以使用clearRect.

【转载】HTML5 Messaging

- - HTML5研究小组
HTML5 的Message API能够让HTML5页面之间传递消息，甚至这些页面可以不在同一样域名下. 为了让消息能从一个页面发送到另一个页面，主动发送消息的页面必须拥有另一个页面的窗口引用. 然后发送 页面针对接受页调用 postMessage() 方法. postMessage() 方法中 origin 参数的值必须与页面所在的iframe的域名相匹配.

Adobe、标准和HTML5 -HTML5 and CSS3 开发

- - HTML5研究小组
“[提供商之间的]最激烈的竞争将与 标准密切相关. 大部分聪明人的眼睛将紧盯着技术标准. 但在计算机行业，新标准既可能是无限财富的源泉，也可能导致企业帝国的毁灭. 尽管存在着如此多的风险，标准仍然点燃了无限激情”. —The Economist, 1993年2月23日. 在编写这段有关标准化的话时，计算领域的主要争议是Unix是否是一个可行的操作系统（以及是否为IBM、DEC和HP的更多专用操作系统带来了挑战），以及哪个视窗平台（SUN/AT&T还是IBM/DEC/HP）将成为标准.

HTML5漫谈（4）–HTML5应用平台:PhoneGAP

- - HTML5研究小组
(  程宝平 chengbp @gmail.com）. http://phonegap.com）按官方说法，是HTML5移动应用平台，它包括两部分：. 1)       应用开发框架：采用Web/HTML5技术编写应用，支持设备能力（如GPS、重力感应等）调用；支持能力插件灵活扩展. 图1 PhoneGAP支持设备能力API列表.

HTML5新特性之CSS+HTML5实例

- - CSDN博客Web前端推荐文章
1、新的DOCTYPE和字符集. HTML5的一项准则就是化繁为简，Web页面的DOCTYPE被极大的简化. HTML5引入了很多新的标签，根据内容和类型的不同，被分为7大类. 语义化标签可以简化HTML页面设计，并且将来搜索引擎在抓取和索引网页的时候，也会利用这些元素的优势. HTML5的宗旨之一就是存在即合理.

HTML5设计原理

- jessie - 蓝色理想
Jeremy Keith在 Fronteers 2010 上的主题演讲 下载PPT（PDF） 观看视频 今天我想跟大家谈一谈HTML5的设计. 主要分两个方面：一方面，当然了，就是HTML5. 我可以站在这儿只讲HTML5，但我并不打算这样做，因为如果你想了解HTML5的话，你可以Google，可以看书，甚至可以看规范.