¿<span style = ...> es seguro para desinfectar?

Question

Estoy usando un editor de texto enriquecido (CKEditor) y tengo la oportunidad de permitir a los usuarios crear perfiles que se muestran a otros usuarios.

Muchos de los atributos de CKEditor puede controlar se están perdiendo cuando les Mostrar como:

<%= sanitize(profile.body) %> 

Mi pregunta es: ¿Es seguro permitir que el atributo 'estilo' que ser analizado? Esto permitiría que se muestren cosas como el color del texto, el tamaño, el color de fondo, el centrado, la indentación, etc. Solo quiero asegurarme de que no permita el acceso de un hacker a algo que desconozco.

Answer 1

¿es seguro permitir que se analice el atributo 'estilo'?

Nº

background-image: url(javascript:[code]); 
width: expression([code]);     /* ie */ 
behavior: url([link to code]);    /* ie */ 
-moz-binding: url([link to code]);   /* ff */ 

Por no hablar de los ataques de suplantación de la interfaz de usuario-como la colocación de un formulario de acceso falsa sobre una de verdad o algo así.