信任用户输入作为img/video的src是否存在安全风险？AngularJS机制解析

这个问题问得很好——直接把用户输入的内容作为img或video标签的src属性值，潜在的安全风险远不止旧浏览器中的JavaScript执行，咱们逐个拆解这些风险场景：

1. 跨域信息泄露与CSRF攻击 #

• 当你加载攻击者构造的恶意URL时，浏览器会自动带上当前站点的Cookie（如果目标域名与当前站点存在Cookie共享规则，或第三方Cookie未被限制），攻击者可以通过这种方式窃取用户的会话凭证，进而冒充用户操作。
• 此外，img标签的src会触发GET请求，攻击者可以构造指向你站点敏感接口的URL（比如https://your-app.com/api/delete-user），在用户登录状态下加载这个资源，就可能触发未做CSRF防护的敏感操作——虽然现在多数站点都有CSRF防护，但仍有遗漏的边缘场景。

2. 恶意资源的客户端漏洞利用 #

• 即使是看似合法的图片、视频文件，也可能被攻击者构造包含格式漏洞的恶意文件。比如某些特制的JPEG、PNG或MP4文件，在浏览器解析时可能触发缓冲区溢出、代码注入等漏洞，尤其是在未及时更新的浏览器中，可能导致攻击者在用户设备上执行恶意代码。
• 还有一种情况：攻击者会将恶意HTML文件伪装成图片格式（比如命名为fake-image.jpg但实际是HTML内容），如果浏览器的MIME类型校验失效，就会将其解析为HTML，进而执行里面的脚本——虽然现代浏览器对MIME类型的校验很严格，但仍存在绕过的可能性。

3. 钓鱼与社会工程陷阱 #

• 攻击者可以通过用户输入的src加载伪造的图片，比如模仿你的网站登录界面、系统提示弹窗等，诱导用户输入账号密码、银行卡信息等敏感内容。
• 或者加载包含钓鱼话术的恶意视频，引导用户点击外部恶意链接，进一步陷入诈骗陷阱。

4. 旧浏览器中的JavaScript执行风险 #

• 你提到的这个场景确实存在：早期IE等老旧浏览器允许在img的src中使用javascript:伪协议（比如<img src="javascript:stealCookies()">），这会直接执行脚本触发XSS攻击。虽然现代浏览器已经封堵了这个漏洞，但如果你的网站仍有大量使用旧浏览器的用户，这就是一个明确的安全隐患。

关于AngularJS的$sce.trustAsResourceUrl #

AngularJS的这个机制正是为了应对上述风险而生——它强制开发者显式标记哪些资源URL是可信的，避免无意识地加载恶意资源，从框架层面降低这类安全问题的发生概率。

总结 #

直接将任意用户输入设为img/video的src，风险覆盖了信息泄露、客户端攻击、钓鱼诈骗等多个维度，绝不仅限于旧浏览器的JavaScript执行。最安全的做法是对用户输入的URL做严格校验：比如限制协议只能是http/https、使用域名白名单过滤可信来源，而不是盲目信任所有输入。

内容的提问来源于stack exchange，提问作者Alireza Mirian