对用户css的危险

允许用户使用css是否存在任何危险或安全风险

---

对不起，这个问题不具体。可能的实现：为用户输入自定义css提供一个文本区域，然后将该css放入样式元素中：

与js。
这取决于您如何实现该功能。如果您提供的表单允许人们选择自己的CSS值，那么就存在脏输入的固有风险。
是的，存在许多潜在的XSS攻击，主要是通过将JavaScript放入背景图像的URL等等。在中搜索“样式”以获取一些示例

用户CSS也有可能破坏您的站点，例如使导航菜单为0x0像素或将其移到屏幕外的-1000，-1000。或者CSS本身可以引用来自其他站点的图像，您不能保证这些图像会继续保留。
所有用户输入都是脏的
如果他们编写了一些CSS来隐藏或隐藏诸如登录之类的内容呢

还有多个问题，有一个CSS历史黑客，几个与url相关的XSS漏洞，可能还有更多没有想到的问题

在页面上显示用户输入之前，始终对其进行清理。
如果唯一受CSS影响的用户是提供CSS的用户，则风险不大。任何XSS漏洞都只能影响用户

某些浏览器允许用户使用自定义CSS，或者完全忽略它，所以我不认为这是个问题。
回答是在“用户CSS”意味着允许用户更改配置文件页中的CSS设置的情况下作出的。只有当用户被允许以其他用户可以使用的方式更改css，或者恶意的Mandy想出了让用户使用恶意css的方法时，这些问题才会出现。如果这是一个纯粹的客户端的事情，他们可以打破自己的网站体验，但meh。