XML文件能包含JavaScript吗 SVG XML中嵌入脚本的安全风险 陆砚码 2026-09-14 • 👁 0人浏览过 XML中的 （内联）→ 在大多数现代浏览器中会执行 复制 → 行为取决于浏览器和同源策略，同源时通常会执行脚本 复制</code></div> → 同源时脚本可执行，跨域则受限制 为什么 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto"><script></code></div> 放在 SVG 里比放 HTML 里更危险 因为 SVG 的脚本上下文容易被低估：它默认拥有完整的 DOM 访问权限，且常被用于富交互图表、动态图标等场景，开发者可能忘记它也能读取页面 Cookie、调用 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">fetch()</code></div> 、甚至触发 XSS。 Eclipse导入Android或其他的JAVA项目的正确方法 WORD版 本文档主要讲述的是Eclipse导入Android或其他的JAVA项目的正确方法；希望本文档会给有需要的朋友带来帮助；感兴趣的朋友可以过来看看 下载 立即学习 “ Java免费学习笔记（深入） ”； SVG 脚本默认运行在**当前页面的全局作用域**，不是沙盒环境 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto"><script type="application/ecmascript"></code></div> 或省略 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">type</code></div> 都会被执行，不依赖 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">text/javascript</code></div> 即使禁用 HTML <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto"><script></code></div> ，SVG 内的 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto"><script></code></div> 仍可能绕过 CSP（除非显式配置 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">script-src 'self' 'unsafe-inline'</code></div> 并禁止 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">svg</code></div> 类型） 第三方 SVG 图标库（如 unplugin-icons）若未经 sanitization 直接内联，可能带入恶意脚本 怎么安全地加载和使用 SVG 核心原则：不信任任何外部 SVG 字符串，尤其不能用 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">innerHTML</code></div> 或 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">document.write()</code></div> 注入。优先走「解析→白名单过滤→重建」路径。 用 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">DOMParser</code></div> 解析 SVG 字符串，再遍历所有 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">script</code></div> 元素并移除： <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">svgDoc.querySelectorAll('script').forEach(s => s.remove())</code></div> 避免 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto"><use href="#icon"></code></div> 引用外部 SVG 中的 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto"><script></code></div> ，因为外部文件若被篡改，脚本仍会执行 服务端生成 SVG 时，禁用用户可控内容进 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto"><script></code></div> 或 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">onload</code></div> 等事件属性 CSP 建议加 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto">script-src 'self'; object-src 'none'; base-uri 'none'</code></div> ，防止 <div class="cxy-code-block"><button class="cxy-code-copy" aria-label="复制代码">复制</button><code class="language-auto"><object></code></div> 和 base 标签劫持 真正麻烦的不是“能不能”，而是“什么时候意外执行了”。SVG 的脚本行为边界模糊，不同加载方式、不同浏览器版本、是否同源，都会影响结果——别靠记忆判断，每次加载前做一次显式清理更可靠。 </div> <!-- 文章导航 --> <nav class="phpwebsoft-article-nav" aria-label="文章导航"> <a href="http://www.phpwebsoft.com/news/6696.html" class="phpwebsoft-article-nav-link phpwebsoft-article-nav-prev"> <span>‹</span> <div> <div class="phpwebsoft-article-nav-label">上一篇</div> <div class="phpwebsoft-article-nav-title">PHP如何把字符串改成UTF8？</div> </div> </a> <a href="http://www.phpwebsoft.com/news/6702.html" class="phpwebsoft-article-nav-link phpwebsoft-article-nav-next"> <div> <div class="phpwebsoft-article-nav-label">下一篇</div> <div class="phpwebsoft-article-nav-title">PHP技巧实例：树形结构的算法</div> </div> <span>›</span> </a> </nav> </div> </article> <!-- 相关文章列表 --> <section class="phpwebsoft-content-section" style="margin-top: 20px;"> <h2 class="phpwebsoft-widget-title" style="margin-bottom: 20px;">相关文章</h2> <ul class="phpwebsoft-article-list"> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/6696.html" class="phpwebsoft-article-link">PHP如何把字符串改成UTF8？</a> <div class="phpwebsoft-article-meta">2026-09-14</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/6691.html" class="phpwebsoft-article-link">理解 Golang 函数链的陷阱和错误处理</a> <div class="phpwebsoft-article-meta">2026-09-14</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/6689.html" class="phpwebsoft-article-link">Go Web框架Iris并发请求参数混淆如何解决？</a> <div class="phpwebsoft-article-meta">2026-09-14</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/6687.html" class="phpwebsoft-article-link">探究PHP正则表达式实现信息记录_PHP教程</a> <div class="phpwebsoft-article-meta">2026-09-14</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/6683.html" class="phpwebsoft-article-link">如何使用Python对图片进行瑕疵修复</a> <div class="phpwebsoft-article-meta">2026-09-14</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/6702.html" class="phpwebsoft-article-link">PHP技巧实例：树形结构的算法</a> <div class="phpwebsoft-article-meta">2026-09-14</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/6705.html" class="phpwebsoft-article-link">PHP中使用smarty生成静态文件的例子</a> <div class="phpwebsoft-article-meta">2026-09-14</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/6706.html" class="phpwebsoft-article-link">c++中如何实现字符串的单词首字母大写_c++标题格式化算法【详解】</a> <div class="phpwebsoft-article-meta">2026-09-14</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/6707.html" class="phpwebsoft-article-link">C++对象池实现 对象复用性能优化</a> <div class="phpwebsoft-article-meta">2026-09-14</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/6709.html" class="phpwebsoft-article-link">加密美国股票表现出不同的表现，因为投资者的注意力转移与IPO兴奋与重新平衡失望之间的转变。</a> <div class="phpwebsoft-article-meta">2026-09-14</div> </li> </ul> </section> </div> <!-- 右侧边栏 --> <aside class="phpwebsoft-sidebar phpwebsoft-sidebar-right" aria-label="侧边栏"> <!-- 推荐阅读 --> <div class="phpwebsoft-widget"> <h3 class="phpwebsoft-widget-title">推荐阅读</h3> <div class="phpwebsoft-recommend-grid"> <a href="http://www.phpwebsoft.com/news/20974.html" class="phpwebsoft-recommend-item"> <div class="phpwebsoft-recommend-thumb"> <img src="http://www.phpwebsoft.com/static/v10/images/article-6.jpg" alt="详解链抽象四小龙：Omni Network、Cycle Network、Initia、Polymer"> </div> <div class="phpwebsoft-recommend-title">详解链抽象四小龙：Omni Network、Cycle Network、Initia、Polymer</div> </a> <a href="http://www.phpwebsoft.com/news/20960.html" class="phpwebsoft-recommend-item"> <div class="phpwebsoft-recommend-thumb"> <img src="http://www.phpwebsoft.com/static/v10/images/article-6.jpg" alt="一千万数据非实时搜索，但要求快速开发，有什么建议啊"> </div> <div class="phpwebsoft-recommend-title">一千万数据非实时搜索，但要求快速开发，有什么建议啊</div> </a> <a href="http://www.phpwebsoft.com/news/20959.html" class="phpwebsoft-recommend-item"> <div class="phpwebsoft-recommend-thumb"> <img src="http://www.phpwebsoft.com/static/v10/images/article-6.jpg" alt="Go GAE 数据存储：解决对象成员为空的问题"> </div> <div class="phpwebsoft-recommend-title">Go GAE 数据存储：解决对象成员为空的问题</div> </a> <a href="http://www.phpwebsoft.com/news/20957.html" class="phpwebsoft-recommend-item"> <div class="phpwebsoft-recommend-thumb"> <img src="http://www.phpwebsoft.com/static/v10/images/article-6.jpg" alt="PHP简单的伪静态URL机制实现"> </div> <div class="phpwebsoft-recommend-title">PHP简单的伪静态URL机制实现</div> </a> </div> </div> <!-- 最新文章 --> <div class="phpwebsoft-widget"> <h3 class="phpwebsoft-widget-title">最新文章</h3> <ul class="phpwebsoft-article-list"> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/20974.html" class="phpwebsoft-article-link">详解链抽象四小龙：Omni Network、Cycle Network、Initia、Polymer</a> <div class="phpwebsoft-article-meta">2026-10-09</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/20960.html" class="phpwebsoft-article-link">一千万数据非实时搜索，但要求快速开发，有什么建议啊</a> <div class="phpwebsoft-article-meta">2026-10-09</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/20959.html" class="phpwebsoft-article-link">Go GAE 数据存储：解决对象成员为空的问题</a> <div class="phpwebsoft-article-meta">2026-10-09</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/20957.html" class="phpwebsoft-article-link">PHP简单的伪静态URL机制实现</a> <div class="phpwebsoft-article-meta">2026-10-09</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/20947.html" class="phpwebsoft-article-link">Python中正则表达式怎么用 Python中正则表达式指南</a> <div class="phpwebsoft-article-meta">2026-10-09</div> </li> <li class="phpwebsoft-article-item"> <a href="http://www.phpwebsoft.com/news/20945.html" class="phpwebsoft-article-link">php函数日志记录第三方模块问题解答</a> <div class="phpwebsoft-article-meta">2026-10-09</div> </li> </ul> </div> <!-- 热门标签 --> <div class="phpwebsoft-widget"> <h3 class="phpwebsoft-widget-title">热门标签</h3> <div class="phpwebsoft-article-tag-list"> <a href="http://www.phpwebsoft.com/tag/1905" class="phpwebsoft-article-tag-item">svg</a> <a href="http://www.phpwebsoft.com/tag/1685" class="phpwebsoft-article-tag-item">javascript</a> <a href="http://www.phpwebsoft.com/tag/1664" class="phpwebsoft-article-tag-item">Java</a> </div> </div> </aside> </div> </div> </main> <!-- 页脚 --> <footer class="phpwebsoft-footer"> <div class="phpwebsoft-container"> <div class="phpwebsoft-footer-links" style="justify-content: center;"> <a href="http://www.phpwebsoft.com/22.html" class="phpwebsoft-footer-link">免责声明</a> <a href="http://www.phpwebsoft.com/23.html" class="phpwebsoft-footer-link">关于我们</a> <a href="http://www.phpwebsoft.com/24.html" class="phpwebsoft-footer-link">联系我们</a> <a href="http://www.phpwebsoft.com/25.html" class="phpwebsoft-footer-link">投诉删除</a> <a href="http://www.phpwebsoft.com/26.html" class="phpwebsoft-footer-link">投稿须知</a> </div> <div class="phpwebsoft-footer-copyright" style="text-align: center; margin-top: 20px;"> Copyright 2026 websoft网络软件专家 版权所有 <a href="https://beian.miit.gov.cn/" rel="nofollow" target="_blank" style="color: inherit;">黔ICP备2025061481号</a> </div> <div style="text-align: center; margin-top: 10px; font-size: 12px; color: #999;">免责声明：本站信息来源于网络，仅供学习使用，版权归原作者所有，如有不愿意被转载的情况，请联系QQ：182111886，通知我们删除已转载的信息。</div> </div> </footer> <!-- 返回顶部按钮 --> <button class="phpwebsoft-back-to-top" id="backToTop" aria-label="返回顶部">⇧</button> <!-- 公共脚本 --> <script src="http://www.phpwebsoft.com/static/v10/js/common.js"></script> <div class="hide"> </div> </body> </html>
