IE 浏览器安全级别详情及区别小结

更新时间：2016年01月28日 16:43:26 投稿：mdxy-dxy

排查问题时，定位到可能和当前浏览器的安全级别设置有关，顺便整理了下Windows 7下IE9安全级别的详情内容，及各安全级别下的默认设置差异

Windows 7下IE9安全级别设置项如下表示。（留空代表同前一列的值，无变化）

类别	属性	中	中-高	高
.NET Framework	XAML 浏览器应用程序	启用	禁用	禁用
	XPS 文档	启用		禁用
	松散 XAML	启用		禁用
.NET Framework 相关组件	带有清单的权限的组件	高安全级		禁用
	运行未用 Authenticode 签名的组件	启用		禁用
	运行已用 Authenticode 签名的组件	启用		禁用
ActiveX 控件和插件	ActiveX 控件自动提示	禁用		禁用
	对标记为可安全执行脚本的 ActiveX 控件执行脚本*	启用		禁用
	对未标记为可安全执行脚本的 ActiveX 控件初始化并执行脚本	禁用（推荐）		禁用（推荐）
	二进制和脚本行为	启用		禁用
	仅允许经过批准的域在未经提示的情况下使用 ActiveX	禁用	启用	启用
	下载未签名的 ActiveX 控件	禁用（推荐）		禁用（推荐）
	下载已签名的 ActiveX 控件	提示（推荐）		禁用
	允许 ActiveX 筛选	启用		启用
	允许Scriptlet	禁用		禁用
	允许运行以前未使用的 ActiveX 控件而不提示	启用	禁用	禁用
	运行 ActiveX 控件和插件	启用		禁用
	在没有使用外部媒体播放机的网页上显示视频和动画	禁用		禁用
脚本	Java 小程序脚本	启用		禁用
	活动脚本	启用		禁用
	启用 XSS 筛选器	启用		启用
	允许对剪贴板进行编程访问	提示		禁用
	允许网站使用脚本窗口提示获得信息	启用		禁用
	允许状态栏通过脚本更新	启用	禁用	禁用
其他	持续使用用户数据	启用		禁用
	加载应用程序和不安全文件	提示（推荐）		提示（推荐）
	将文件上传到服务器时包含本地目录路径	启用	禁用	禁用
	跨域浏览窗口和框架	禁用		禁用
	启用 MIME 探查	启用		禁用
	使用 SmartScreen 筛选器	启用		启用
	使用弹出窗口阻止程序	启用		启用
	特权较少的 Web 内容区域中的网站可以定位到该区域	启用		禁用
	提交非加密表单	启用		提示
	通过域访问数据源	禁用		禁用
	拖放或复制和粘贴文件	启用		提示
	显示混合内容	提示		提示
	允许 META REFRESH	启用		禁用
	允许 Microsoft 网页浏览器控件的脚本	禁用		禁用
	允许脚本初始化的窗口，不受大小或位置限制	禁用		禁用
	允许网页使用活动内容受限协议	提示		禁用
	允许网站打开没有地址或状态栏的窗口	启用	禁用	禁用
	在 IFRAME 中加载程序和文件	提示（推荐）		禁用
	只存在一个证书时不提示进行客户端证书选择	禁用		禁用
启用 .NET Framework 安装程序		启用		禁用
下载	文件下载	启用		禁用
	字体下载	启用		禁用
用户验证	登录	只在 Intranet 区域自动登录		用户名和密码提示

其中，部分需要关注或科普的值如下。

XAML
Extensible Application Markup Language，一种XML的用户界面描述语言，是 .NET Framework中用来描述UI的。

http://zh.wikipedia.org/wiki/XAML
http://msdn.microsoft.com/en-us/library/ms752059.aspx

Scriptlet
Scriptlet是一种将一个页面打包成组件的轻量方法。如：

<OBJECT ID="scrltCode2" 
TYPE="text/x-scriptlet" 
DATA="DateTime.html"
</OBJECT>

其中DateTime.html为一个包含完整功能的html页面。

http://msdn.microsoft.com/en-us/library/office/aa189871(v=office.10).aspx

Authenticode

一种对从web下载的应用的签名方法。
http://technet.microsoft.com/en-us/library/cc750035.aspx

XSS 筛选器

自IE8增加的XSS保护功能。
http://windows.microsoft.com/zh-CN/internet-explorer/products/ie-8/features/safer?tab=ie8xss

允许对剪贴板进行编程访问
常用的“点击复制”类似的功能，需要考虑在禁用此项时的容错方案。

将文件上传到服务器时包含本地目录路径

若禁用，上传文件时将得到类似这样的地址：

C:\fakepath\xxxxxx.png

解决办法见后续文章。

MIME 探查
通过探查MIME类型来确定文件类型。不会将文件类型提升为更危险的文件类型。例如，以纯文本接收的但包含 HTML 代码的文件将不会提升为 HTML 类型，因为其中可能包含恶意代码。

显示混合内容
即在HTTPS的页面中包含HTTP的请求时，会出现提示。

允许 META REFRESH
因此在做浏览器端的redirect时，不能仅做meta refresh，而需要使用下面的兼容方法：

<html> 
<head> 
<meta http-equiv="refresh" content="0;url=https://www.jb51.net/"> 
</head> 
<body> 
<script type="text/javascript"> 
window.location.href='https://www.jb51.net/'; 
</script> 
</body> 
</html>

VSCode中画UML图的方法实现
这篇文章主要介绍了VSCode中画UML图的方法实现，文中通过图文介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
2020-11-11
分享几个新增备案不关站的代码
这篇文章主要介绍了分享几个新增备案不关站的代码,需要的朋友可以参考下
2015-01-01
调试JavaScript/VBScript脚本程序（IE篇）
JavaScript/VB Script脚本程序一般有两种执行方式，一种是嵌入在宿主程序里面执行，比如在IE浏览器里面执行；另外一种，在资源管理器里面双击执行（虽然还是通过另外一个程序解释执行，但是给人的感觉毕竟是直接运行）。
2009-09-09
各种编程语言中$符号的意义
这篇文章主要介绍了各种编程语言中$符号的意义,本文是给编程新看看的,$符号在多种编程语言中都在使用,需要的朋友可以参考下
2014-09-09
POST与GET方法的区别简要分析
原理介绍：理论上说，GET是从服务器上请求数据，POST是发送数据到服务器。事实上，GET方法是把数据参数队列（query string）加到一个URL上，值和表单是一一对应的。
2008-10-10
加速 PyTorch 模型训练的 9 个技巧(收藏)
本指南从最简单的结构到最复杂的改动都有，可以使你的网络得到最大的好处。我会给你展示示例Pytorch代码以及可以在Pytorch- lightning Trainer中使用的相关flags，这样你可以不用自己编写这些代码，感兴趣的朋友一起看看吧
2022-03-03
git 一个可以提高开发效率的命令：cherry-pick详解
这篇文章主要介绍了git 一个可以提高开发效率的命令：cherry-pick,本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下
2020-09-09
Git的代码合入流程详解
这篇文章主要为大家介绍了Git的代码合入流程详解，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪
2022-11-11
如何使用VSCode插件Remote-Tunnels连接服务器
本文介绍使用Remote - Tunnels连接服务器，该方法需要远程服务器有流畅的网络环境，它使用微软的服务来建立隧道，需要登录GitHub，本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友参考下吧
2023-11-11
知识蒸馏联邦学习的个性化技术综述
这篇文章主要为大家介绍了知识蒸馏联邦学习的个性化技术综述，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪
2022-05-05

IE 浏览器安全级别详情及区别小结

相关文章

最新评论

大家感兴趣的内容

最近更新的内容

常用在线小工具