Javascript 是否可以从外部调用<；div class="；“什么？”&燃气轮机；在浏览器url框中使用java？

我正在测试Javascript的安全性

我有一个“弹出窗口”（一个窗体，而不是新窗口中的外部弹出窗口），当用户获得一定数量的分数时显示。如果一个人可以使用url框中的javascript命令调用该弹出窗口，是否可能。你必须使用什么命令

这里有一个例子

<div class="popup test withForm">

    <div class="content">

        <img class="title" src="images/popup/victory.jpg" style="height: 100px;" align="center" />

        <div class="text">

            <br />

            You won

            <br />
            <br />



            <form action="example_url.com" method="post" accept-charset="utf-8" autocomplete="off">
                <input type="hidden" id="eventDate" value="1423263600" />
                <div class="line">
                    Enter your info
                </div>
                <div class="line">

                    <div class="left">
                        <input type="text" name="user" id="successUser" class="validateText" value="" placeholder="Name" />
                    </div>
                    <div class="right">
                        <i class="fa fa-times error"></i>
                        <i class="fa fa-check ok"></i>
                    </div>
                </div>

                <div class="line">
                    <div class="left">
                        <input type="text" name="userEmail" id="successEmail" class="validateEmail" value="" placeholder="Email" />
                    </div>
                    <div class="right">
                        <i class="fa fa-times error"></i>
                        <i class="fa fa-check ok"></i>
                    </div>
                </div>


        <br />
        <br />

        <div class="buttonLine">
            <div class="button submit">
                <div>
                    Submit
                </div>
            </div>

            <div>ali</div>


        </div>

        <div class="clearfix"></div>

        <br />
        <br />


    </div>
</div>

你赢了




输入您的信息




提交
阿里

可能是的，但肯定可以通过开发工具（只需点击F12）执行。只要url的查询字符串未在页面上绘制或未在代码中计算（使用

eval

），就不可能从url执行脚本。但是，使用控制台可以运行/更改页面的完整代码。如果您想知道他们是否可以通过向URL添加内容来运行javascript，这取决于页面其余部分的安全程度。但也就是说，您可以轻松地打开一个控制台并在其中键入javascript，它就会正常运行。如果安全是您的目标，那么通过ajax传递您正在跟踪的变量，让服务器端文件进行验证/计数，如果/当它达到某个目标时，返回表单并将其加载到容器弹出div中，而不是在页面加载时加载div。这就像将密码保存在

中一样，通过读取源代码很容易找到/利用。我甚至不需要浏览器向服务器提交值。@Mouser我想这就是OP的意思：将粘贴

javascript:alert（'Hello！'）

复制到地址栏并按ENTER键。