1、href、src属性须要检验协议

假如未检验，网络攻击者可以应用javascript:伪协议插进执行恶意的js代码。

2、什么原因a标签得加tol=”nofollow”属性？

这一属性的意思是告知各大搜索引擎不必跟踪此链接。假如A网页页面上有个超链接指向B网页页面，但A网页页面给这一超链接添加了tol=”nofollow”标明，那样各大搜索引擎不可能把A网页页面计算入B网页页面的反链。各大搜索引擎见到这一属性便会取消超链接的投票权重。

简单而言，有一些搞seo优化的人，会在各大论坛插进许多含有超链接的无用数据，假如禁止加了tol=“nofollow”属性，各大搜索引擎爬到了，也不会给别人提升权重值。那样搞恶意seo优化的人，就没兴趣在你的网站里插无用数据了。

因此需不需要加这一属性，在于你的业务是不是须要避免以上情况。

3、什么属性被觉得是安全的？4、iframe标识安全应用提议

提议不必使用，假如一定要用，可以根据下边好多个方法减少隐患：

src属性务必检验协议，把控http和https，另外开展url地址授权管理正则校验，把控内容为可信网站域名，避免网络攻击者插进恶意网页页面。

确定宽度，或把控最大宽度，避免子网页页面覆盖父网页页面。

应用沙箱（sandbox）措施，遵循管理权限降到最低标准配备相对应选择项符合业务要求。5、style属性，提议不必应用。

原因参照：根据css注入的向量

假如须要支持客户把控样式，提议应用class属性，对于不一样的值提早定好相匹配的样式。

确实非得应用style属性的情况下，那么就自个把属性值获取出来，解析后再做1层授权管理过滤系统吧（假如写不太好，会存有绕过的可能）。

6、script标识禁止客户插进，这一相信无需描述了。

7、上边提及的这种内容无法确保全方位，超出范围的，提议询问了解的专业安全技术人员。