スタイルアトリビュートのセキュリティリスク（xss）

Question

外部ソースからのHTMLの表示が許可されているので、表示する前にウィルス定義を行います。ソースはいくらか信頼されていますが、別のレイヤーを追加したいと考えています。

スタイルタグを削除しますが、スタイル属性を保持したいと考えています。私はスクリプトがその属性に置かれることができ、XSSでこれらのスクリプトをどの程度使用できるのか不思議に思っていました。言い換えれば、スタイルタグを使用する際の具体的なリスクは何ですか？

Answer 1

多くの同じリスクがHTMLメールと共有されています。 GmailなどのWebベースのリーダーでHTMLメールを表示している場合は、コンテナから脱出してメールインターフェイス自体を混乱させないようにしたいと考えています。このため、電子メールがユーザーに配信される前に、多くのスタイルが切り取られます。キャンペーンモニタには、異なるメールクライアントにgood guide as to what CSS is allowed and disabledがあります。これは良い出発点かもしれません。