Сейчас проблемный код выглядит так:
header('Content-Type: text/html; charset=Windows-1251');
header('Content-Disposition: inline; filename=output.htm');
readfile('header.htm');
echo $var;
readfile('footer.htm');
exit;
Где $var - результат работы всей предыдущей части скрипта.
die(header('Location: /file.htm'));
header('Content-Type: text/html; charset=Windows-1251');
header('Content-Disposition: inline; filename=output.htm');
readfile('header.htm');
echo $var;
readfile('footer.htm');
exit;
Можно или сообщить клиенту, чтобы он запросил другой адрес (что делает совсем другой заголовок - Location)
или клиент должен был сразу запрашивать file.htm
Забавно, что человек уже два месяца(!) бьётся головой об стену, вместо того, чтобы войти в дверь.
Можно ещё прописать PHP код внутрь этого result.html, хранить данные на самом сервере, ну и собирать страницу динамически, хотя для обращающихся она будет выглядеть статичной.
//td[descendant-or-self::*/starts-with(text(),'TEXT')][1]/following-sibling::*[1]/descendant-or-self::*/text()<div>Title</div>
<div>Text1<b>Text2</b></div><div><b>Title</b></div>
<div>Text <span>text</span></div>Делайте как вам удобнее, только на публичных доменах типа github.com открывать *.github.com не комильфо
Нельзя, для инлайн-стилей в теге требуется 'unsafe-inline'
Allows the use of inline resources, such as inline<script>elements, javascript: URLs, inline event handlers, and inline<style>elements.
А 'unsafe-unline' как раз и нехорошо разрешать, тк скрипт из неразрешённого хост-источника получает контроль над HTML.
У сайта может быть множество поддоменов, в том числе и динамических.
Потому, что такой встроенный скрипт может появиться на странице без ведома вебмастера.
<img style="something"> - можно, согласно одному лишь default-src domain.com, а <style>something</style> в том же самом HTML-файле - нет, надо дописывать unsafe-inline? Уж если злоумышленник может модифицировать наш HTML-файл, то ему фиолетово, как именно XSSить.