什么是CSS注入大家对XSS攻击都很熟悉，可能很少关注CSS注入攻击。以下行为可能会受到CSS注入攻击：从用户提供的URL导入CSS文件。CSS代码采用用户输入的数据可以看下面两个例子https://www.owasp.org/index.p...http://www.thespanner.co.uk/2...CSS原理属性选择器允许开发操作符可以根据属性标签值中匹配的子串来选择元素。这些属性值选择器可以做以下事情：1.如果字符串以子串开头则匹配；2.如果字符串以子串结尾则匹配；3.匹配如果字符串在任意位置包含子串，则匹配；4.属性选择器允许开发者查询单个属性的页面HTML标签并匹配它们的值。在实际环境中，如果HTML标签中会存储一些敏感信息，比如CSRFtoken存储在隐藏表单的属性值中，这样我们就可以将CSS选择器与表单中的属性进行匹配，并根据是否form匹配起始字符串，加载外部资源，例如背景图像，以尝试猜测属性的起始字母。这样，攻击者就可以逐字猜测，最终得到完整的敏感值。防御策略想要解决这个问题受害者可以在他们的服务器上实施内容安全策略（CSP）来防止攻击者从外部加载CSS代码。总结作为前端开发者，我们是最贴近用户的，也是网络安全防护的第一线。时刻关注来自各方的网络攻击，确保用户信息安全。参考资料https://portswigger.net/kb/is...https://www.freebuf.com/artic...https://24ways.org/2018/secur...
