HTML5通过sandbox属性提升iFrame的安全性

目前Web Hypertext Application Technology Working Group&＃xff08;WHATWG&＃xff09;正与W3C通力合作建立HTML 5标准&＃xff0c;在过去3个月中&＃xff0c;该项工作已经进入到了WHATWG的“Last Call”阶段。在这期间&＃xff0c;变化最大的一个特性就是iframe元素的sandbox属性。sandbox属性可以防止不信任的Web页面执行某些操作。

HTML 5规范的编辑Ian Hickson谈到了sandbox的好处&＃xff0c;它可以防止如下操作&＃xff1a;

\u0026#xD;\n

• 访问父页面的DOM&＃xff08;从技术角度来说&＃xff0c;这是因为相对于父页面iframe已经成为不同的源了&＃xff09;\u0026#xD;\n
• 执行脚本\u0026#xD;\n
• 通过脚本嵌入自己的表单或是操纵表单\u0026#xD;\n
• 对COOKIE、本地存储或本地SQL数据库的读写\u0026#xD;\n

HTML 5的修订历史页面还提到了sandbox的其他特性&＃xff1a;

• 禁用插件\u0026#xD;\n
• 禁止其他浏览上下文的导航\u0026#xD;\n
• 禁止弹出窗口和模式对话框\u0026#xD;\n

iFrames因安全问题而臭名昭著&＃xff0c;这主要是因为iFrames常常被用于嵌入第三方内容&＃xff0c;而后者则可能会执行某些恶意操作。sandbox通过限制被嵌入内容所允许的操作而提升iFrames的安全性。这种方式将沙箱内容与父页面进行了分离&＃xff0c;因此限制了被嵌入内容的权限。

与sandbox一起出来的还有其MIME类型&＃xff1a;text/html-sandboxed。Hickson说到&＃xff1a;

text/html-sandboxed MIME类型确保用户不会访问到不可信的内容。它包含两部分内容&＃xff1a;首先&＃xff0c;如果用户直接访问页面时&＃xff0c;浏览器不可以渲染那些具有text/html-sandboxed MIME类型的页面。目前所有浏览器都支持这一点&＃xff0c;这些浏览器会下载页面的标记但不会渲染页面&＃xff1b;其次&＃xff0c;支持sandbox属性的浏览器需要渲染具有text/html-sandboxed MIME类型的iframes&＃xff08;但会受到sandbox属性中所设定的权限限制&＃xff09;目前为止&＃xff0c;还没有浏览器实现这一点&＃xff0c;Google Chrome也是如此&＃xff08;它会渲染父页面&＃xff0c;但却下载iframe内容而非在iframe中对其进行渲染&＃xff09;。因此目前还没法使用该项技术&＃xff0c;除非Google更新Chrome以支持这一点&＃xff08;从理论上来说&＃xff0c;其他的浏览器厂商在实现了对sandbox属性的支持后就会实现该技术&＃xff0c;让我们拭目以待吧&＃xff09;。

目前&＃xff0c;只有Google Chrome 4.0使用了sandbox&＃xff0c;Firefox、IE8和Safari都还没有实现这一点&＃xff0c;但相信不久之后这些浏览器都会实现的。围绕着HTML 5 \u0026lt;video\u0026gt;元素发生了很多事情&＃xff0c;Google通过H.264标准对其进行实现&＃xff0c;而其他浏览器则使用了不同的标准或是干脆还没有实现。但这种情况不会发生在这里&＃xff0c;因为每个浏览器都可以在内部自由决定如何实现sandbox。但即便是明天所有的主流浏览器都采用了sandbox&＃xff0c;众多的开发者和内容管理者也不能立刻就使用它&＃xff0c;因为还有那么多的遗留浏览器会忽略掉该属性&＃xff0c;因此稳妥的办法还是采取常规的安全手段来保护iFrames。

查看英文原文&＃xff1a;The HTML 5 sandbox Attribute Improves iFrame Security