afra: Cross Site Scripting, oder nicht?

Beitrag lesen

Hallo Detlef!

Hallo Afra

Eckdaten: Es gibt einen Webserver, der über einen iFrame eine entfernte Seite lädt.

Der Webserver lädt die Seite?
Oder fügt der Webserver nur die URL in einen iFrame ein?

Letzteres. Ich habe ja auch entfernte Seite geschrieben. Wir haben keine Möglichkeit die recht komplexe Anwendung die dort geladen wird über eigene Server laufen zu lassen. Wir machen dies aber auch schon mit anderen Anwendungen. Mir ist also klar was du meinst. Es greifen auch eingeloggte 3.000-5.000 User regelmäßig darauf zu, das wäre einfach zu viel für unsere jetzt schon 4 Server ;o)

Wenn dies serverseitig umgesetzt ist und Traffik keine zu große Rolle
spielt, dann könnte der Webserver wirklich diese Seite laden und selbst
ausliefern. Dann würde die Same Origin Policy keine Rolle mehr spielen,
weil aus Sicht des Browsers beide Seiten vom selben Server kommen.
Es wäre dann auch möglich, den Inhalt des Bodys der fremden Seite direkt
und ohne iFrame einzubinden.

Ich hasse diese Lösung mit dem iframe und mir wäre ein erlaubtes Scrollen viel lieber. Aber das "sieht ja nach nix aus" (<- nicht mein O-Ton)

Wenn die einbindende Seite so aufgebaut ist, dass der iFrame die gesamte
Seitenhöhe einnimmt, dann ist der Scrollbalken des iFrames nicht von dem
der gesamten Seite zu unterscheiden.

Leider auch hier keine wirkliche Hilfe. Der einzubindende Inhalt wird nur in einem Teil (Division mit %-Breite) der Seite angezeigt. Kopfdaten und Seitenbereiche werden von Logo und Navigation der einbindenden Seite belegt. Das führt dazu, dass der iframe nicht 100% der Höhe einnehmen kann.

Schönen Gruß

Afra