当前位置:当前位置: 首页 >
做网页开发时,允许用户输入url图片地址来作为自己的头像有什么风险?
人气:发表时间:2025-06-23 18:00:16
可以考虑加载前做验证:向该url发送*** head请求,判断返回的content-type是否为image,以及是否在限制尺寸以下。
head请求只会获取响应header,不会获取响应体,所以可以一定程度上避免“非图片url”或者“巨型图片”造成的***浪费和页面卡顿问题。
同时,也可以避免XSS(因为把js代码填进来不可能通过上述验证)和XSRF(因为接口不可能接受head请求) 有错误请指正。
同类文章排行
- 前些年吹上天的“云霄塔”空天飞机为什么没有消息了?
- 联想 128GB 超大内存迷你 AMD 主机上架,此款主机有哪些亮点?
- 阿里网盘为什么没有动静了?
- 人性为什么是经不起揣摩的?
- 电视剧《繁花》中,爷叔为什么会离开宝总?
- 如何评价前端组件库shadcn/ui?
- 为什么这么久了还是没有主流软件开发鸿蒙版?
- 新手养鱼,鱼缸中能放入哪些水草?
- 魔兽世界有必要4k吗?
- 为什么都认为无GC语言一定会比有GC语言要快?
最新资讯文章
- 从身上抓下来的,这个是什么虫子?
- 养乌龟生态缸到底可行吗?
- NAS的盘是否需要一次性买齐?
- 如何评价前端框架 Solid?
- 以色列为什么要打伊朗?
- 哪张照片让你觉得刘亦菲美得不可方物?
- 榴莲的产量明明很高,为什么还卖那么贵?
- 有什么是你去了上海才知道的事情?
- 为何雷军天天健身,却无健身痕迹?
- 为什么开发一个 AI Agent 看似容易,但真正让它「好用」却如此困难?技术瓶颈主要在哪里?
- 养乌龟是什么体会?
- 为什么腾讯云或者阿里云不让自建dns服务器?
- OpenWrt 能做哪些有趣的事?
- 程序员如何用好 Cursor 工具?
- 在深圳找个男朋友难吗?
- Flutter 为什么没有一款好用的UI框架?
- 公司没有钱给员工发工资了,领导纯靠给员工画大饼让员工干活,如果是你,你愿意继续干下去么?
- 统一推送联盟为什么会失败?深层原因是什么?
- 在上海被骗了100w+,警察不予立案怎么办?
- iPad Pro 能否取代 Surface Pro?