Браузер і продуктивність · Senior · Запитання 66 з 75
Чому allow-scripts allow-same-origin на sandboxed iframe із same-origin контентом небезпечні?
- 1Це вимикає CSP для всієї сторінки
- ✓Правильна відповідь: Скрипт у фреймі може дістатися батьківської сторінки й прибрати атрибут sandbox, вийшовши з пісочниці
- 3Iframe узагалі не завантажиться
Пояснення
З обома прапорцями same-origin контент фактично без пісочниці. Для недовіреного контенту використовуйте окремий origin.