Простое средство для дезинфекции HTML в Javascript

javascript html wmd html-sanitizing

68194 просмотра

3 ответа

19466 Репутация автора

Я ищу простое дезинфицирующее средство HTML, написанный на JavaScript. Это не должно быть на 100% безопасным XSS.

Я внедряю Markdown и редактор WMD Markdown (основная ветка SO от github) на моем веб-сайте. Проблема в том, что HTML-код, показанный в реальном времени, не фильтруется, как здесь, в SO. Я ищу простое / быстрое дезинфицирующее средство HTML, написанное на JavaScript, чтобы я мог отфильтровать содержимое окна предварительного просмотра.

Нет необходимости в полном парсере с полной защитой XSS. Я не отправляю вывод обратно на сервер. Я отправляю Markdown на сервер, где использую правильное полное HTML-дезинфицирующее средство, прежде чем сохранить результат в базе данных.

Google абсолютно бесполезен для меня. Я просто получаю сотни (часто неправильных) статей о том, как отфильтровать JavaScript из сгенерированного пользователем HTML на всех видах серверных языков.

ОБНОВИТЬ

Я объясню немного лучше, зачем мне это нужно. На моем сайте есть редактор, очень похожий на тот, что здесь, на StackOverflow. Есть текстовая область для ввода синтаксиса MarkDown и окно предварительного просмотра, которое показывает вам, как оно будет выглядеть после того, как вы его отправили.

Когда пользователь отправляет что-то, оно отправляется на сервер в формате MarkDown. Сервер преобразует его в HTML, а затем запускает на нем дезинфицирующее средство HTML для очистки HTML. MarkDown допускает произвольный HTML, поэтому мне нужно его очистить. Например, пользователь вводит что-то вроде этого:

<script>alert('Boo!');</script>

Конвертер MarkDown его не трогает, так как это HTML. Дезинфицирующее средство HTML удалит его, так что элемент script исчезнет.

Но это не то, что происходит в окне предварительного просмотра. Окно предварительного просмотра только преобразует MarkDown в HTML, но не очищает его. Таким образом, окно предварительного просмотра будет иметь элемент script. Это означает, что окно предварительного просмотра отличается от фактического рендеринга на сервере.

Я хочу это исправить, поэтому мне нужно быстрое и грязное JavaScript HTML-дезинфицирующее средство. Что-то простое с базовым списком элементов / атрибутов подойдет. Он не должен быть безопасным для XSS, потому что защита XSS выполняется с помощью средства очистки HTML-кода на стороне сервера.

Это просто для того, чтобы убедиться, что окно предварительного просмотра будет соответствовать фактическому рендерингу в 99,99% времени, что достаточно для меня.

Вы можете помочь? Заранее спасибо!

Автор: Sander Marechal Источник Размещён: 28.10.2009 01:35

Ответы (3)


14 плюса

28757 Репутация автора

Решение

Вы должны взглянуть на то, что рекомендовано в этом вопросе. Обработка и перезапись HTML на стороне клиента.

И просто чтобы убедиться, что вам не нужно больше делать с XSS, просмотрите ответы на этот вопрос. Как предотвратить атаки с использованием Javascript в пользовательском HTML

Автор: Michael Dillon Размещён: 28.10.2009 02:23

-2 плюса

121 Репутация автора

для моей функции я заботился только о том, чтобы строка не была пустой и содержала только буквенно-цифровые символы. Это использует простой JS и не третьи библиотеки или что-нибудь еще. Он содержит длинное регулярное выражение, но он выполняет свою работу;) Вы можете основываться на этом, но ваше регулярное выражение должно быть чем-то более похожим '