当前位置:当前位置: 首页 >
做网页开发时,允许用户输入url图片地址来作为自己的头像有什么风险?
文章出处:网络 人气:发表时间:2025-06-23 18:00:16
可以考虑加载前做验证:向该url发送*** head请求,判断返回的content-type是否为image,以及是否在限制尺寸以下。
head请求只会获取响应header,不会获取响应体,所以可以一定程度上避免“非图片url”或者“巨型图片”造成的***浪费和页面卡顿问题。
同时,也可以避免XSS(因为把js代码填进来不可能通过上述验证)和XSRF(因为接口不可能接受head请求) 有错误请指正。
同类文章排行
- QQ为什么败给微信?
- 既然C#等开源语言,为啥***le还要弄个基本上一模一样的Swift?
- 为什么国外网站总喜欢弹出cookie访问权限弹窗,国内网站却没有,这么做有什么意义?
- 为什么开发一个 AI Agent 看似容易,但真正让它「好用」却如此困难?技术瓶颈主要在哪里?
- 《西西里美丽传说》女主角,在当时打扮这么高调,不觉得带给自己很多不便吗?如何理解她的心态?
- 雍正被吹上天是因为《雍正王朝》吗?
- 如何评价《三角洲行动》S5 赛季新地图「潮汐监狱」?
- 兄妹之间出现这样的聊天是否正常?
- 为什么欧美影视喜欢露点?
- 主流的云厂商各自优势在哪里?
最新资讯文章
- 现在个人博客不能备案了吗?
- 如果北京放开车牌,未来会怎样?
- cloudflare的1.1.1.1和warp有什么区别?
- 苹果为什么要给每代MacOS起个名字,真以为人们记得住分得清吗?
- 如何评价DuckDB?
- 请问买个nas,能够直接把游戏装进去吗?
- go 有哪些成熟点的后台管理框架?
- 我国的军工能力可以实现一天5000枚火箭弹连着炸三个月吗?
- 为什么微信不向telegram学习?
- PHP初学者,我能不能使用PHP来开发桌面应用?
- 中国军队有多强,在世界能排第几?
- 中科院付巧妹团队阐明「哈尔滨龙人属丹尼索瓦人」,连发 Science、Cell,这一发现有什么意义?
- 群晖 nas 有些什么基本和好玩的功能?
- Go 语言 Web 应用开发框架,Iris、Gin、Echo,哪一个更适合大型项目?
- 特朗普表示美军阅兵式将超越奥运会或世界杯,这背后的意义和成本如何评估?