CSSでのスクリプト実行を制限する

Question

私はユーザが入力したCSSルールを許可するレールアプリを作成しており、スクリプトの実行を制限したいと考えています。 'バインディング'（-moz-binding用）と 'behavior'を十分に許可していないのですか？これは、保存前に呼び出される単純な正規表現で実装されます。

CSSスタイルシートにスクリプトを組み込む他の方法はありますか？

Answer 1

ブラックリストが機能しないことが繰り返し実証されています。安全に許可するCSSのホワイトリストを保管してください。

Answer 2

XSSには多くの方法があります。ここにはcheat sheetがあります。

完全なリストですか？

決して

十分に創造的な攻撃者があなたの微々たるパーサによって取得する方法を見つけるだろう。