IE 浏览器安全级别详情及区别小结

其中，部分需要关注或科普的值如下。

XAML
Extensible Application Markup Language，一种XML的用户界面描述语言，是 .NET Framework中用来描述UI的。

http://zh.wikipedia.org/wiki/XAML
http://msdn.microsoft.com/en-us/library/ms752059.aspx

Scriptlet
Scriptlet是一种将一个页面打包成组件的轻量方法。如：

OBJECT ID="scrltCode2" 
TYPE="text/x-scriptlet" 
DATA="DateTime.html"
/OBJECT> 

其中DateTime.html为一个包含完整功能的html页面。

http://msdn.microsoft.com/en-us/library/office/aa189871(v=office.10).aspx

Authenticode

一种对从web下载的应用的签名方法。
http://technet.microsoft.com/en-us/library/cc750035.aspx

XSS 筛选器

自IE8增加的XSS保护功能。
http://windows.microsoft.com/zh-CN/internet-explorer/products/ie-8/features/safer?tab=ie8xss

允许对剪贴板进行编程访问
常用的“点击复制”类似的功能，需要考虑在禁用此项时的容错方案。

将文件上传到服务器时包含本地目录路径

若禁用，上传文件时将得到类似这样的地址：

C:\fakepath\xxxxxx.png

解决办法见后续文章。

MIME 探查
通过探查MIME类型来确定文件类型。不会将文件类型提升为更危险的文件类型。例如，以纯文本接收的但包含 HTML 代码的文件将不会提升为 HTML 类型，因为其中可能包含恶意代码。

显示混合内容
即在HTTPS的页面中包含HTTP的请求时，会出现提示。

允许 META REFRESH
因此在做浏览器端的redirect时，不能仅做meta refresh，而需要使用下面的兼容方法：

html> 
head> 
meta http-equiv="refresh" content="0;url=https://www.jb51.net/"> 
/head> 
body> 
script type="text/javascript"> 
window.location.href='https://www.jb51.net/'; 
/script> 
/body> 
/html>