Я работаю над размещенной CMS и думаю о том, чтобы разрешить редакторам сайтов добавлять пользовательский javascript и html (очень востребованная функция).
Я обеспокоен тем, что это откроет вектор атаки - неприятные js могут вызывать функции, которые предоставляет наша размещенная CMS (см. Samy worm для примера того, что пользовательские скрипты сделали с myspace), но я действительно хочу дать пользователям контроль над своим сайтом (какой смысл в CMS, вы не можете добавить свой собственный умные вещи?)
Как лучше всего решить эту проблему? Я могу придумать несколько, по которым я хотел бы прокомментировать, но я не буду перечислять их, опасаясь «модов без вопросов в списке»!
