Los usuarios de nuestra aplicación web desean usar CSS personalizado para personalizar partes de la interfaz de usuario. Se me ocurrió algún tipo de lista negra para las "malas palabras" de CSS y tengo curiosidad de si es suficiente o si necesito mejorarla. Básicamente, si el CSS contiene algunos de estos ...
"expression",
"@import",
"@charset",
"javascript",
"url(",
"behavior",
"data:",
"http:",
"https:",
"//",
"vbscript",
"moz-binding",
"\" //just one backslash (this one is escaped)
... la aplicación lo rechaza y le pide al usuario que no use ninguno de estos. También quiero evitar que inserten objetos remotos y cosas a través de URI de datos.
¿Sería esto suficiente? ¿Es un buen enfoque o debo considerar otras opciones?