如何将 JavaScript 小部件添加到 Wordpress.com 托管博客？

Question

我有一个 地点 它通过 JavaScript 提供博客友好的小部件。这些在大多数情况下都可以正常工作，包括自托管的 Wordpress 博客。然而，对于托管在 Wordpress.com 上的博客，侧边栏文本模块中不允许使用 JavaScript。有没有人看到此限制的解决方法？

Answer 1

你总是可以请求 wp 将你的小部件添加到他们的“批准”列表中，但谁知道这需要多长时间。您正在谈论一种规避他们发布任意脚本的规则的方法。myspace javascript 漏洞尤其提高了人们对此类变通办法可能性的认识，因此您可能很难绕过这些限制 - 但是，这里有一个经典的尝试：

将 javascript 放在一个奇怪的地方，比如执行 URL 的任何地方。例如：

<div style="background:url('javascript:alert(this);');" />

有时“javascript”这个词会被删除，但有时您可以将其作为 java script 或类似的东西偷偷地通过。

有时引号会被删除 - 尝试 String.fromCharCode(34) 来解决这个问题。另外，一般来说，使用 eval("codepart1" + "codepart2") 来绕过受限制的单词或字符。

潜入 javascript 是一件棘手的事情，主要是利用非正统（可能未记录）的浏览器行为来在页面上执行任意 javascript。欢迎来到黑客。

Answer 2

来自官方 WordPress.com 常见问题解答:

Javascript 可用于恶意目的，虽然您想做的事情没问题，但这并不意味着所有 javascript 都可以。

它继续提醒读者，MySpace 和 LiveJournal 都受到恶意 Javascript 的影响，因此不会被允许（因为它可能被恶意用户利用）。他们不能在大得惊人的网站上冒险（比如 I Can Has Cheezburger、Anderson Cooper 360、Fox 等）。

如果您认为您的 Javascript 将使 WordPress.com 受益，您可以 直接联系他们.

Answer 3

没有解决办法。WordPress 目前不支持 Javascript。对不起。

Answer 4

如果您确实需要该 js 才能工作，只需找到一个有关 XSS 的好网站即可。但如果它对你有效，那么它对任何人都有效，并且你通过帖子或评论在你的页面上发布了如何进行 XSS 攻击的教程。

参考：http://ha.ckers.org/xss.html