为什么编辑器预览时还支持 <style> 标签,发布后却直接将其清除掉了。。

昨天我没有发现可以在论坛编辑器中引入外部 css 的地方,今天发现连 <style></style> 标签也不支持,但预览界面支持:

发布前预览:

为什么编辑器预览时还支持 <style> 标签,发布后却直接将其清除掉了。。

发布后:
为什么编辑器预览时还支持 <style> 标签,发布后却直接将其清除掉了。。

日拱一卒
讨论数量: 9

加上!important 试试

4周前 评论
hustnzj (楼主) 4周前

本质上说,允许未经审查的外部 CSS 样式,也是一种 XSS。

比如,写一段 CSS 把整个页面的内容都隐藏,只显示某个链接或者图片。

你肯定会好奇,为啥会我上面这句就可以用 CSS 😏,因为这是 Safe HTML,不少支持 Markdown 的网站都会允许一些安全的 HTML 代码。

4周前 评论
hustnzj (楼主) 4周前
Rache1 (作者) 4周前
hustnzj (楼主) 4周前
Rache1 (作者) 4周前
hustnzj (楼主) 4周前

讨论应以学习和精进为目的。请勿发布不友善或者负能量的内容,与人为善,比聪明更重要!