背景:url(“javascript：.”)不再起作用了？

Question

作为前端工程师，我正在学习XSS的预防。

根据OWASP文档，下面的代码应该从用户输入中过滤。但是当我在我的chrome浏览器和safari浏览器上测试它时，它似乎不起作用。

<STYLE type="text/css">BODY{background:url("javascript:alert('XSS')")}</STYLE>

这是现在的浏览器禁止的吗？

Answer 1

我相信这是旧版本的(版本6 IIRC)中的攻击矢量。

如果您的任何用户仍在使用旧浏览器，或者浏览器供应商出于任何原因重新引入此功能，则禁止使用此功能仍然是很好的做法。

我有在这里找到了一个参考资料

在IE6中，javascript伪方案在任何URI中执行。 <input style="background: url(javascript:alert(1))">