Ты правда думал, что мы разрешим юзерам вставлять код? :-) <script>alert('Это просто подсветка кода');</script>
Ответить
Развернуть ветку
Уникальный теркин30см
В редакторе кнопка "Показать больше" ничего не показывает :с
Ответить
Развернуть ветку
Раненый корабль
Кстати тоже. Firefox
Ответить
Развернуть ветку
Осторожный рубин
А в чём проблема вставки фреймов Спотифая, Яндекса, ФБ и так далее?
Ответить
Развернуть ветку
Раненый корабль
Если их разрешить, то в теории можно любой injection засунуть, что не круто
Ответить
Развернуть ветку
Осторожный рубин
Никакой ты injection не засунешь через шаблоны iframe
Ответить
Развернуть ветку
Раненый корабль
iframe injection тоже существует, когда какой нибудь сайт открывают в фрейме 1 на 1 пиксель, и на нём уже вредоносный код. Хз, есть ли сейчас защита от подобного на уровне браузера, но в своё время такое частенько использовали
Ответить
Развернуть ветку
Осторожный рубин
тебе говорят про стандартные шаблоны вставок, а не про рандомные сайты. На TJ нельзя вставлять FB или Telegram, например.
Ответить
Развернуть ветку
Осторожный рубин
Ну а на сайте с подразделом "Музыка" запрет на вставку музыкальных плееров вообще полное кощунство.
Много где такое было и есть. Никакого риска тут нет также как нет риска вставлять всякие кнопки счётчики и рекламу на свой сайт. А дыры в браузерах фиксятся же
Ну на форумах всяких. Не знаю даже. Оно действительно ото всюду пропало но причины не понятны. Кроме как собрать ip адреса пользователей так сделать вроде ничего нельзя
Ну и ещё можно конечно вставить свою рекламу и просмотры собирать но это уже так себе план
Ответить
Развернуть ветку
Правильный самолет
Огромное количество уязвимостей, очень сложно фильтровать, что можно и что нельзя вставлять.
Не в браузерах, а в том, как можно хитро извернувшись вставить то, что нельзя. Ну условно классика, когда нельзя вставлять <script>:
<img src=“” onError=“alert(‘hacked’);”>
VC для всякой БМ и девочек-маркетологов. IMHO. Нужно что-то харкорное, типа как Хабр был раньше.
Ответить
Развернуть ветку
Знаменитый томагавк_два
Заголовки статей из этого подсайта:
- Смета для расчёта стоимости мобильного приложения
- Поступить в школу программирования «42» в Кремниевой долине
- Сколько стоит разработка приложения
- Зачем компании Telegram-бот и как с ним работать
Ответить
Развернуть ветку
Правильный самолет
Так его только создали, перенесли туда пока статьи старые, чтобы не было пусто.
Делитесь приёмами и образовательными материалами, знакомьтесь с другими разработчиками, системными администраторами, QA-специалистами и представителями других направлений.
Ответить
Развернуть ветку
Осторожный рубин
У вас же был Спарк, он ближе подходил к программированию, как мне кажется. Это если VC нацелен именно на какие-то крупные проекты в том подразделе, а не перепечатки с Хабра и Stack OverFlow
Ответить
Развернуть ветку
Трудящийся цветок
А чо не так?
Ответить
Развернуть ветку
Осторожный рубин
user experience подсказывает, что я ожидал вставку расшаренного альбома Спотифая.
Ты правда думал, что мы разрешим юзерам вставлять код? :-) <script>alert('Это просто подсветка кода');</script>
В редакторе кнопка "Показать больше" ничего не показывает :с
Кстати тоже. Firefox
А в чём проблема вставки фреймов Спотифая, Яндекса, ФБ и так далее?
Если их разрешить, то в теории можно любой injection засунуть, что не круто
Никакой ты injection не засунешь через шаблоны iframe
iframe injection тоже существует, когда какой нибудь сайт открывают в фрейме 1 на 1 пиксель, и на нём уже вредоносный код. Хз, есть ли сейчас защита от подобного на уровне браузера, но в своё время такое частенько использовали
тебе говорят про стандартные шаблоны вставок, а не про рандомные сайты. На TJ нельзя вставлять FB или Telegram, например.
Ну а на сайте с подразделом "Музыка" запрет на вставку музыкальных плееров вообще полное кощунство.
Много где такое было и есть. Никакого риска тут нет также как нет риска вставлять всякие кнопки счётчики и рекламу на свой сайт. А дыры в браузерах фиксятся же
А где сейчас такое, кроме ЖЖ?
Ну на форумах всяких. Не знаю даже. Оно действительно ото всюду пропало но причины не понятны. Кроме как собрать ip адреса пользователей так сделать вроде ничего нельзя
Ну и ещё можно конечно вставить свою рекламу и просмотры собирать но это уже так себе план
Огромное количество уязвимостей, очень сложно фильтровать, что можно и что нельзя вставлять.
Незакрытые уязвимости в браузерах?
Не в браузерах, а в том, как можно хитро извернувшись вставить то, что нельзя. Ну условно классика, когда нельзя вставлять <script>:
<img src=“” onError=“alert(‘hacked’);”>
Не понял.. это же всё в отдельном фрейме с какогото левого домена подгружается
Вот ещё где это есть вспомнил, ebay
У того же вконтактика было автовоспроизведение видео когда-то. Потому что попало и не надо разрешать.
А когда запустите отдельный сайт для программистов? )) Для маркетологов есть, для геймеров есть, для котиков есть.
Для программистов есть Хабр.
Он давно уже для компаний и их самопиара, а не для программистов. Нужно уютное местечко.
https://vc.ru/team/55628-vozmozhnost-vstavlyat-kod-v-stati-i-novyy-razdel-razrabotka
VC для всякой БМ и девочек-маркетологов. IMHO. Нужно что-то харкорное, типа как Хабр был раньше.
Заголовки статей из этого подсайта:
- Смета для расчёта стоимости мобильного приложения
- Поступить в школу программирования «42» в Кремниевой долине
- Сколько стоит разработка приложения
- Зачем компании Telegram-бот и как с ним работать
Так его только создали, перенесли туда пока статьи старые, чтобы не было пусто.
Делитесь приёмами и образовательными материалами, знакомьтесь с другими разработчиками, системными администраторами, QA-специалистами и представителями других направлений.У вас же был Спарк, он ближе подходил к программированию, как мне кажется. Это если VC нацелен именно на какие-то крупные проекты в том подразделе, а не перепечатки с Хабра и Stack OverFlow
А чо не так?
user experience подсказывает, что я ожидал вставку расшаренного альбома Спотифая.
Перенесите в Аляску, раз это не баг.
https://dtf.ru/team/36699-kod-novyy-modul-v-redaktore
Это конечно, наверное, очень надо на DTF, но зачем это среднестатистическому пользователю TJ? Там никак нельзя прописать, чтобы это прошло мимо TJ?
Двигло просто одно и то же
Ну так это не значит, что писакам TJ или VC нужны лишние кнопки в интерфейсе.
Комментарий недоступен