Gli utenti della nostra app Web vorrebbero utilizzare CSS personalizzati per personalizzare parti dell'interfaccia utente. Mi è venuta in mente una sorta di lista nera per le "parolacce" dei CSS e sono curioso di sapere se sia sufficiente o se devo migliorarlo. In sostanza, se il CSS contiene alcuni di questi ...
"expression",
"@import",
"@charset",
"javascript",
"url(",
"behavior",
"data:",
"http:",
"https:",
"//",
"vbscript",
"moz-binding",
"\" //just one backslash (this one is escaped)
... l'app la rifiuta e chiede all'utente di non usare nessuno di questi. Voglio anche impedire loro di inserire oggetti remoti e cose tramite URI di dati.
Sarebbe sufficiente? È un buon approccio o dovrei prendere in considerazione altre opzioni?