Ist es sicher, ein beliebiges externes Stylesheet in meine Webseite einbetten zu dürfen?

Question

Ich habe eine dynamische Webseite, die andere Leute in ihre Webseiten einbetten wollen, mit einer iframe (nicht notwendigerweise mit irgendwelchen fortgeschritteneren Techniken wie JavaScript).

Anstatt selbst alle Arten von Designs und Styles bereitzustellen, überlege ich mir, ihnen zu erlauben, ein eigenes Stylesheet für meine Seite über einen HTTP GET Parameter zu erstellen und ein solches externes Stylesheet über eine URL einzubetten w/<link type="text/css" rel="stylesheet" href & hellip; auf meiner Seite.

Ist das sicher? Wird es das Sicherheitsparadigma meiner Website verletzen? Ich bin mir bewusst, dass zusätzlicher Text mit CSS allein eingefügt werden könnte, und tatsächlich könnten Elemente entfernt werden (was den Hauptaspekt darstellt, wenn ich solche Funktionen für meine Benutzer bereitstelle), aber alles, was mir sonst noch bewusst sein sollte?

Können böswillige Personen über ein solches CSS Links auf meine Website einfügen, um von meinem http-Referer zu profitieren und möglicherweise einige Prüfungen zu verletzen, oder ist die CSS-Einfügung auf Text beschränkt?

Answer 1

CSS kann keine verknüpfbaren Inhalte einfügen. Es kann nur stilisieren, positionieren und verbergen, was bereits da ist. Sicher, die Leute können Ihre Seite mit :before und :after Text durcheinander bringen und vielleicht die Dinge ein wenig verwirrend aussehen lassen oder die Bezeichnungen bestehender Links ändern, aber nicht die URLs selbst.

Answer 2

Im allgemeinen Fall, nein, allowing third-party CSS is not safe. Einige Implementierungen erlauben JavaScript in CSS, was bedeutet, dass es den Benutzern erlaubt, CSS zu ändern, damit sie beliebiges JavaScript im Kontext Ihrer Seite ausführen können.

Wenn dies jedoch eine Art "White-Label" -Seite sein soll, wo es Teil der Site zu sein scheint, in die es eingebettet ist und die Tatsache, dass es sich wirklich um Ihre Seite handelt, ist nur ein Implementierungsdetail Es scheint mir keine große Sorge zu sein. Die Person, die das CSS "Drittanbieter" angibt, ist der Websitebesitzer. Es handelt sich also nicht wirklich um einen Drittanbieter - sie gehen nicht selbst zu XSS!

Aber niemand anderes sollte jemals CSS auf eine Seite setzen, die unter Ihrer Kontrolle sein soll, weil es wirklich unter der Kontrolle von jedem steht, der das CSS kontrolliert.