我的目标是允许合作伙伴通过在URL参数中传递给他们的样式表的
链接,以自己的外观和风格对自己的着陆页进行风格化.通过
JavaScript加载第三方CSS是否存在安全性或浏览器兼容性问题？
在CSS
文件中.
表达式(代码),行为：url(),url(javascript：code)和-moz-binding：url()都有潜在的安全问题.
行为不能是跨域,以便消除一些威胁,但一般来说,您需要以某种方式对其进行清理.
如果您允许用户在外部服务器上链接到CSS,则没有全面的验证方式.服务器可以检查服务器上的CSS文件,以确保没有任何恶意软件,但如果用户更改样式表怎么办？您将不得不连续检查样式表.此外,服务器可能会向服务器IP地址提供不同的信息,以尝试绕过验证方法.
诚然,我建议将CSS存储在您自己的服务器上.简单的运行它抛出一个正则表达式解析器,从上面删除可能的恶意代码.
