当前位置:当前位置: 首页 >
做网页开发时,允许用户输入url图片地址来作为自己的头像有什么风险?
人气:发表时间:2025-06-23 18:00:16
可以考虑加载前做验证:向该url发送*** head请求,判断返回的content-type是否为image,以及是否在限制尺寸以下。
head请求只会获取响应header,不会获取响应体,所以可以一定程度上避免“非图片url”或者“巨型图片”造成的***浪费和页面卡顿问题。
同时,也可以避免XSS(因为把js代码填进来不可能通过上述验证)和XSRF(因为接口不可能接受head请求) 有错误请指正。
同类文章排行
- 能否对比一下Claude Code和Gemini CLI,你的选择建议是?
- 为什么今年的雷霆会惹众怒?
- 怎么才能有尤雨溪一半强,该怎么学习?
- 我国有能力发现B2并摧毁吗?
- 为什么有的程序员很抗拒使用Ai?
- ***拍大尺度片子时摄影师不会看光吗?
- 我应该设置多少kb才能让他不能玩游戏?
- 孩子网上学编程,靠谱吗?
- 为什么全世界无一人能实现新mac直接全功能稳定装Win 11 arm,或PC直接装macOS arm?
- 家里想搞一个服务器,怎么才不违规?
最新资讯文章
- 怎么评价新发布的小米YU7?
- 有哪些是你用上了mac才知道的事?
- 为什么日本电影很少出现白丝?
- 写代码的时候总是考虑太多怎么办?
- 为啥苹果不给 MacBook Pro 加上这些特性?
- 为什么现在的年轻人更容易觉得疲惫?
- 垃圾佬一般都是在哪里捡垃圾的?
- 为什么国内程序员们没有联合起来设计一种中英文严格2:1宽度比的字体呢?
- 毕设答辩,老师说node不可能写后台怎么办?
- 苹果为什么要给每代MacOS起个名字,真以为人们记得住分得清吗?
- 豆包推出 AI 编程,在「编辑模式」下可以直接前端改图和文字,体验如何?对行业会带来怎样的影响?
- 为什么幼儿园的超前教育被叫停?
- 我国以前禁用过手机WIFI,为什么后来又允许了?
- 如何看待美团创始人王兴清空微博?
- Windows有哪些神级软件?
- 如何评价 Vue.js 纪录片?
- postgresql能取代mongodb吗?
- 为什么小男孩小时候要比小女孩难养好多?
- 为什么外包的名声这么差?
- 现在个人博客不能备案了吗?