QQ邮箱反射型xss漏洞

……，对，我印象中写过了，刚才因为需要要用，搜索了一下，是空的，嘶嘶嘶～可怕～

起因
甲方“一个人的安全部”的时候，一个研发的同事在设计一项报表功能时，因为受到邮箱的安全限制无法很好的实现，于是将情况反馈给我。说实话，我对浏览器的安全也不太了解，案头的书翻了几页就没再动过，于是对比了腾讯邮箱的做法，发现了这个xss。

背景
公司使用coremail搭建企业邮箱，开发做了一个通过邮件发送html报表的周报，但在此邮件内有链接地址。邮箱的域名是a.com，而报表中的链接是b.com，当用户打开a.com内的报表邮件，点击其中的链接；因为邮件的内容是通过iframe来加载html报表，同时coremail将iframe加入了内容安全策略(CSP)限制(sandbox=“allow-same-origin allow-popups”)。所以，点击链接虽然可以跳转到b.com，但b.com页面有js脚本，sandbox不允许执行脚本(allow-scripts)，会导致新打开的链接不会加载脚本执行，效果当然也不是开发想要的效果了。