《白帽子讲Web安全》6-HTML5安全

第6章 HTML5安全

6.1 HTML5新标签

6.1.1 新标签的XSS

如<video>和<audio>标签。

6.1.2 iframe的sandbox

使用sandbox这一属性后，<iframe>标签加载的内容将被视为一个独立的“源”。

该属性将极大地增强应用使用iframe的安全性。

6.1.3 Link Types：noreferer

在HTML5中为<a>标签和<area>标签定义了一个新的Link Types：noreferer。

6.1.4 Canvas的妙用

<canvas>标签。

通过canvas自动破解验证码，最大的好处是可以在浏览器环境中实现在线破解，大大降低了攻击的门槛。

6.2 其他安全问题

6.2.1 Cross-Origin Resource Sharing

互联网的发展是越来越开放的，因此跨域访问的需求也变得越来越迫切。同源策略给Web开发者带来了一些困扰，因此他们不得不想法设法地实现一些“合法”的跨域技术。

W3C制定了一个新的标准来解决日益迫切的跨域访问问题。

6.2.2 postMessage——跨窗口传递消息

6.2.3 Web Storage