Javascript可以写在html href标记中吗？
我正试图找出所有可以编写javascript的方法。我正在制作一个可接受标签的白名单，但是属性让我感到困惑 在我的富html编辑器中，我允许像链接这样的东西Javascript可以写在html href标记中吗？,javascript,security,html-agility-pack,whitelist,Javascript,Security,Html Agility Pack,Whitelist,我正试图找出所有可以编写javascript的方法。我正在制作一个可接受标签的白名单，但是属性让我感到困惑 在我的富html编辑器中，我允许像链接这样的东西 <a href="">Hi </a> 现在我正在使用html敏捷包来摆脱我不支持的属性和html标记 然而，我仍然不清楚一个人是否可以这样做 <a href="<script>alert('hi')</script>">Bad </a> 因此，我不确定是否必
<a href="">Hi </a>
<a href="<script>alert('hi')</script>">Bad </a>
<a href="javascript:void(0)" onclick="alert('hi');">Bad</a>
<a href="javascript:(function(){
alert('hello');
})()">Hello</a>
<a onclick="alert(eval({Crazy:function(){alert('Hello');return 'World';}}).Crazy());">
Crazy
</a>
疯子
<a href="javascript:(function(){
alert('hello');
})()">Hello</a>
<a onclick="alert(eval({Crazy:function(){alert('Hello');return 'World';}}).Crazy());">
Crazy
</a>
疯子
<IMG SRC="javascript:alert('XSS');">
<INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');">
<BODY BACKGROUND="javascript:alert('XSS')">
<IMG LOWSRC="javascript:alert('XSS')">
<XSS STYLE="behavior: url(xss.htc);">
如果你写这篇文章是为了自己的教育，那么XSS备忘单为单元测试提供了一些非常好的素材 如果您试图为用户输入的HTML编写XSS验证器用于生产，我强烈建议您使用现有库。即使使用白名单方法，也有很多可能的属性值会导致XSS。在中搜索“javascript:”可以看到javascript:uri出现的各种地方。以下是一个不完整的列表：
<IMG SRC="javascript:alert('XSS');">
<INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');">
<BODY BACKGROUND="javascript:alert('XSS')">
<IMG LOWSRC="javascript:alert('XSS')">
<XSS STYLE="behavior: url(xss.htc);">
如果你写这篇文章是为了自己的教育，那么XSS备忘单为单元测试提供了一些非常好的素材 你所展示的东西不应该起作用，但是
href=“javascript:alert（'Hello！”）；“href=“javascript:alert（'Hello！”）