HTML脚本注入是一种常见的Web应用程序漏洞,它可以让攻击者在Web应用程序中注入恶意的HTML代码。这些恶意的HTML代码可以在用户浏览器上执行,从而对用户造成安全和隐私风险。
HTML脚本注入是一个非常危险的安全问题,因为它可以让攻击者在Web应用程序中注入恶意的HTML代码,这些代码可以在用户浏览器上执行。例如,一个攻击者可能会尝试使用JavaScript来修改Web页面上的内容,或者使用JavaScript来读取Cookie并将其发送到远程服务器。此外,一个攻击者也可能会尝试使用HTML标记来修改Web页面上的内容,例如将一个新的表单字段加入到表单中。
// 例子1: 使用JavaScript来修改Web页面上的内容 // 例子2: 使用JavaScript来读取Cookie并将其发送到远程服务器 // 例子3: 将新表单字段加入到表单中
JavaScript 是可插入 HTML 页面的编程代码。
JavaScript 使 HTML 页面具有更强的动态和交互性。
JavaScript 插入 HTML 页面后,可由所有的现代浏览器执行。
插入一段脚本
如何将脚本插入 HTML 文档。
使用 <noscript> 标签
如何应对不支持脚本或禁用脚本的浏览器。
<script> 标签用于定义客户端脚本,比如 JavaScript。
<script> 元素既可包含脚本语句,也可通过 src 属性指向外部脚本文件。
JavaScript 最常用于图片操作、表单验证以及内容动态更新。
下面的脚本会向浏览器输出 "Hello World!":
注释:如果使用 "src" 属性,则 <script> 元素必须是空的。
Tip: 学习更多关于 Javascript 教程,请查看 JavaScript 教程!
<noscript> 标签提供无法使用脚本时的替代内容,比方在浏览器禁用脚本时,或浏览器不支持客户端脚本时。
<noscript>元素可包含普通 HTML 页面的 body 元素中能够找到的所有元素。
只有在浏览器不支持脚本或者禁用脚本时,才会显示 <noscript> 元素中的内容:
Tip: <noscript> 标签支持全局属性,查看完整属性表 HTML全局属性!
JavaScript 实例代码:
如果浏览器压根没法识别 <script> 标签,那么 <script> 标签所包含的内容将以文本方式显示在页面上。为了避免这种情况发生,你应该将脚本隐藏在注释标签当中。那些老的浏览器(无法识别 <script> 标签的浏览器)将忽略这些注释,所以不会将标签的内容显示到页面上。而那些新的浏览器将读懂这些脚本并执行它们,即使代码被嵌套在注释标签内。
<script type="text/javascript">
<!--
document.write("Hello World!")
//-->
</script>
标签 | 描述 |
---|---|
<script> | 定义了客户端脚本 |
<noscript> | 定义了不支持脚本浏览器输出的文本 |
HTML 简介 现在您可以通过如下的一个 HTML 实例来建立一个简单的 HTML 页面,以此来简单了解一下 HTML 的结构。 HTML 实例 !DOCT...
XHTML 文档是根据文档类型声明进行验证的。 通过 DTD 验证 XHTML 1. 严格DTDXHTML 文档是根据文档类型声明(DTD)进行验证的。只...
AJAX 简介 AJAX 可以用于创建快速动态的网页。 AJAX 是一种在无需重新加载整个网页的情况下,能够更新部分网页的技术。您应当...
上世纪九十年代,Glasgow Haskell编译器(诞生于格拉斯哥[Glasgow]大学)开始时作为英国政府资助的学术研究项目的一部分,有着如...
jQuery clone() 方法jQuery HTML/CSS 方法实例 克隆所有的 p 元素,并插入到 body 元素的结尾:$(button).click(function(){ $(p...