Изменения относительно селектора :visited в Firefox

[1amer]

лично меня не сильно задене но спрошу: что со стандартизацией таких вещей?

[1amer]

ага, хорошо бы стандартизировать список CSS-свойств, которые разрешены

[slesar]

Это просто пипец, дорогая редакция. Не могут устранить уязвимость, страдает верстка. Что дальше, отменят background у body? Может вообще убрать поддержку javascript? Может стоит подумать и найти решение попроще?

[homm]

Почему не могут. Вот как раз устраняют. Или вы не в курсе, в чем суть уязвимости?

[slesar]

Я в курсе.

Неужели нельзя разделить внешнее представление и то, что отдает скрипт? Ведь часть параметров все-таки оставили.

Нельзя же просто так взять, и что-то перестать поддерживать или придумывать какие-то свои схемы. Это дорога к IE ранних версий.

[homm]

Как вы себе представляете разделение внешнего вида? Любой из не запрещенных параметром даст изменение размеров, что будет легко вычислено скриптом.

[takobus]

А прозрачность?

[zencd]

Да, было бы интересно узнать что такого в background-color: transparent.

[zencd]

Хотя, скорее имелось ввиду что (полу)прозрачность нельзя использовать именно с функциями rgba/hsla. Но вопрос всё равно открыт.

[homm]

Хороший вопрос. Затрудняюсь ответить.

[kurokikaze]

Можно накрыть canvas'ом и проверить попиксельно.

[slesar]

Да вариантов тысячи. Я вот и говорю, что не стоит делать ограничения со стороны CSS. Все равно это не выход.

[zencd]

А foreground color нельзя так же проверить?

[kurokikaze]

Можно.

[zencd]

Ёлки… в таком свете все эти изменения выглядят сомнительно (по крайней мере запрет на фоновое изображение).

[kurokikaze]

В современном CSS и JS слишком много возможностей, всё перекрыть вряд ли получится. Разве что два dom-дерева держать — одно для показа, второе для обработки браузером :)

[homm]

И у вас будет прозрачный пиксель канвы. Она же не рендирит на себя изображение, она обычный полупрозрачный элемент.

[Razunter]

По-моему, ограничения на CSS — очень плохое решение

[tenshi]

о ужас… кто-то узнает какие страницы я посещал х)))

[tenshi]

«параноик» звучит куда солидней, чем «идиот»

[el777]

Очень странное решение.
Вообще для использования уязвимости достаточно изменения хотя бы 1 параметра, например, цвета. Все остальное ничего не изменит, ни добавит, ни убавит. То есть надо либо все отключать, либо все оставлять.
Если так озабочены безопасностью, то сделали бы, чтобы функция getComputedStyle для ссылок на другие домены и не поддомены данного возращала какую-то ерунду. Либо сделайте ограничение на 500 вызовов. Все равно ничего толком не проверишь за эти 500 вызовов.

[Kolyaj]

getComputedStyle не единственный способ узнать посещена ли ссылка. И даже менее неудобный. Достаточно что-то вроде

CSS:
a:visited { display: none; }

JS:
alert(a.offsetWidth? 'Не посещена': 'Посещена');

Поэтому и вырубают свойства, влияющие на layout.

[jj_killer]

Как вариант, это можно реализовать в Noscript, как только при парсинге встречается эта функция выдается предупреждение. Можно добавить сайт в вайтлист. Тем более, предупреждение позволит оценить ситуацию: откуда получена ссылка и т.д. Но это слишком навороченный вариант для обычных пользователей.

[homm]

то сделали бы, чтобы функция getComputedStyle для ссылок на другие домены и не поддомены данного возращала какую-то ерунду.

А они не так по вашему сделали?

[homm]

Видимо не все сами сообразить могут, нужно развернут мысль:
Если будет возвращать ерунду в прямом смысле, это легко детектится — цвет должен быть синий, а возвращает коричневый, записываем как посещенную. А сейчас для всех ссылок возвращается такой цвет, как для не посещенных и поэтому детектировать посещенность нельзя.

[Regis]

Если отображаться всё будет «как надо», то злоумышленник может легко проверить ссылки в обход «врущих» функций.

[homm]

Тогда для js прикаждом обращении к дому придется делать рефлоу, либо вести 2 лейаута параллельно. Помимо того, что это просто затратно, это может повлечь такие клюки, что волосы у разработчиков зашевелятся. (элемент на экране есть, а черех js он не видим, или на строку перенесся)

[Razunter]

а нужен ли :visited вообще?

[homm]

Да.

[egorinsk]

Ура!

[wally]

Оставьте хотя бы: text-decoration
Вот отличный пример, стилизации посещенных ссылок: www.csszengarden.com/?cssfile=/190/190.css&page=2

Хреновый неверный подход к закрыванию дыр…

[leotsarev]

Это убогий способ, никогда так не делайте.

[Ogoun]

Лучше сделайте нормальную реализацию хотя бы CSS2… IE и тот вас обходит.(чисто субъективное мнение)

[shergin]

Про свое «субъективное мнение» ты отлично подметил, да...)

[homm]

Не вижу проблем в Опере 9.6 и 10.5, аналогично ие8. А в хроме да, что-то не так.

[Ogoun]

Субьективно, как web-разработчик, просто уже устал костыли ему ставить. Особенно если через аякс динамически элементы добавляю.

[lautsevich]

Это первоапрельская шутка? ;)

[Aux]

Если мы оставляем хотя бы один аттрибут для стилизации, то проблем проверить ссылки — никаких. Даже если браузер будет «скрывать» реальные данные. Всё очень просто! Делаем в DOM тег A, делаем ему :visited цвет какой-то. Браузер рисует нужным цветом, но getComputedStyle нам его не возвращает. Что ж. Не беда!

Шаг второй. Этот тег A заворачиваем в SVG, SVG грузим как картинку в Canvas, читаем цвет пикселей. Вот мы и обошли ограничение браузера. Хоть и немножко гемморно.

Правда в IE не будет работать скорее всего и в Opera 10.5+.

[BAHO]

Тю ты хоспади. Не проще ли применить более очевидное решение: подсвечивать посещённые ссылки в рамках одного домена. Ну, то есть, там где ты кликнул на ссылку, там она и изображается как посещённая. Тем более, что для такого решения существует наработанная база: принцип немногим отличается от принципа хранения кукисов. Это, конечно, тоже ограничение, но всё же не на CSS.