1.iframe标签简介
iframe标签简单的理解就是可以在一个网站中嵌入一个网页,iframe语法如下:<iframe src="URL"></iframe>
可以通过width和height来设置iframe的宽度和高度,如<iframe src="URL" width="200" height="200"></iframe>
frameborder 属性->是否显示 iframe 周围的边框,如<iframe src="URL" frameborder="0"></iframe>
2 .iframe的安全问题
当网站页面使用iframe方式嵌入一个页面的时候,我们约定网站页面是父页,而被嵌入的这个页面为子页。
当攻击者入侵一个网站后,可以通过iframe来嵌入自己的网马页面,当用户访问该网站后,被嵌入的网马页面就可以执行。
若父页和子页是同域的,那么父页可以通过调用子页的contentWindow来操作子页的DOM树,同理子页也可以通过contentWindow来操作父页的DOM树,若二者不同域,则必须严格遵守同源策略!!!但是子页还是可以对父页的location值进行写操作,这样使父页重定向到其他网页,不过对location的操作仅仅只有写权限,而没有读权限,这样无法获取location URL的内容。
参考:W3School、Web前端黑客技术揭秘