javascript - iframe 的 srcdoc 属性作为 XSS 攻击的来源

Question

我正在尝试实现一种情况，即用户向我们提供一些 html 代码，然后将其存储在我们的数据库中。然后，我们从数据库中检索 HTML 作为字符串。（我们无法控制用户输入）

我尝试使用嵌入这个html

const htmldoc = [the raw html]
<iframe sandbox="allow-scripts" srcdoc=htmldoc>
</iframe>

我将使用 data:// URI。或 blob:// URI。

我正在使用沙盒属性来防止同源策略。用户是否可以在父浏览上下文中输入可能导致 XSS 攻击的内容？我不担心 XSS 攻击是否针对 iframe 内的内容，因为它是沙盒的。

如果我的方法容易受到攻击，我该怎么做才能使其安全？

标签： javascripthtmlsecurityiframexss