Gmail やその他の一般的な Web メール サービスは、HTML メールから JavaScript を削除しますか? 削除しない場合は、その理由は何ですか?

Question

一部の電子メール サービスでは、JavaScript を含む電子メールをスパムとしてマークするという主張を目にしたことがあります。しかし、HTML はそのままにして、埋め込まれた JavaScript を完全に削除するという賢明なサービスについて言及されているのを見たことがありません。私が間違った場所を見ているのでしょうか、それともこの機能は実際にはどこにも実装されていないのでしょうか。

Answer 1

Gmail は、メッセージを表示する前にタグ間のコンテンツをすべて削除します<script>。電子メールにスクリプト タグが含まれていても、Google が自動的にそれをスパムとしてマークするわけではありませんが、スパムとしてマークする可能性を高める要因の 1 つになる可能性があります。

ほとんどのウェブメールプロバイダとメールクライアントは、XSS（クロスサイトスクリプティング）攻撃を防ぐためにこれを行います（または行うべきです）。詳細については、ここ。

したがって、JavaScript を含む電子メールを送信するのは (たとえそれが何か役に立つものであっても) 意味がありません。メッセージが表示されるとほぼ確実にブロックされ、スパムとしてマークされる原因になる可能性があるからです。

Answer 2

Gmailはメールに埋め込まれたJavaScriptが実行されないように設定されていると思うので、実際に削除する必要はありません。それがどのように機能するかはよくわかりませんが、埋め込むことで自分で確認できます。

<script type="text/javascript">
      alert(‘hello!’);
</script>

電子メールで Gmail アカウントに送信すると、電子メールを開いたときにポップアップ ダイアログが表示されなくなります。