我可以通过简单地禁用 XSS 过滤器来在 IE 中为任何/所有网站启用跨站脚本吗？或者还需要什么？
我想为某些站点启用跨站点脚本。具体来说，我想向第三方网站提交一个 Web 表单，我已经设置了 Web 表单对子 iframe 的响应的目标 iframe，现在我希望我的代码在主窗口中检索响应网页的内容。
我是否正确地假设我可以通过简单地禁用 Internet Explorer 中的 XSS 过滤器来执行上述操作？或者还需要其他东西吗？另外，如何在 Firefox 中启用跨站点脚本（对于相同的场景？）
I want to enable cross site scripting for some sites. Specifically, I want to submit a web form to a 3rd party site, I have set the target iframe for the web form's response to a child iframe, now I want my code in main window to retrieve content of the response web page.
Am I correct in assuming that I can do the above by simply disabling the XSS Filter in Internet Explorer? Or is something else also required? Also how do I enable cross site scripting in Firefox (for the same scenario?)
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
IE 的 XSS 过滤器无法防御基于 DOM 的 XSS。因此，为了跨域执行 JavaScript 有效负载，您只需运行请求变量或使用 document.write() 即可。
更常见的方法是使用“跨域代理”。主要是因为这种方法通常不会引入可用于攻击用户的漏洞。
IE's XSS filter does not protect against DOM Based XSS. So in order to execute a javascript payload across domains you can simply run
eval()the request variable or usedocument.write().A more common approach is to use a "cross-domain proxy". Mainly because this approach usually doesn't introduce a gaping vulnerability which could be used to attack your users.
不。XSS 过滤器不负责此限制。
无法从网页内启用跨源请求 - 对跨源请求的限制是 Web 安全模型的基本部分。但是，对于开发，您可以使用
--disable-web-security标志启动 Google Chrome，以允许您发出跨源请求。这对于开发 Web 应用程序很有帮助，其中应用程序必须访问托管在另一个域上的 API。No. The XSS filter isn't responsible for this limitation.
There is no way to enable cross-origin requests from within a web page -- restrictions on cross-origin requests are a fundamental part of the web security model. However, for development, you can launch Google Chrome with the
--disable-web-securityflag to allow you to make cross-origin requests. This can be helpful in development of web applications where the application must access an API hosted on another domain.