Verhindern von XSS (Cross-Site Scripting)

Question

Nehmen wir an, ich habe eine einfache ASP.NET MVC Blog-Anwendung und ich möchte den Lesern erlauben, Kommentare zu einem Blog-Post hinzuzufügen. Wenn ich jede Art von XSS-Spielereien verhindern möchte, könnte ich alle Kommentare HTML-kodieren, so dass sie beim Rendern unschädlich werden. Was aber, wenn ich wollte einige grundlegende Funktionalität wie Hyperlinks, Fettdruck, Kursivschrift, etc?

Ich weiß, dass die Stackoverflow WMD Markdown Editor verwendet, die wie eine große Auswahl scheint für das, was ich versuche, um die Tatsache zu erreichen, wenn nicht, dass es unterstützt sowohl HTML und Abschriften der leaves it open to XSS attacks.

Answer 1

Wenn Sie nicht einen Editor verwenden möchten, können Sie OWASP's AntiSamy in Betracht ziehen.

Sie hier ein Beispiel ausführen können: http://www.antisamy.net/

Answer 2

Wie viel HTML werden Sie unterstützen? Nur fett/kursiv/das Grundlegende? In diesem Fall können Sie diese in die Markdown-Syntax konvertieren und dann den Rest des HTML-Codes entfernen.

Das Entfernen muss serverseitig erfolgen, bevor Sie es speichern. Sie müssen auch die Eingabe auf dem Server überprüfen, wenn Sie nach SQL-Schwachstellen und anderen unerwünschten Dingen suchen.

Answer 3

Ich würde vorschlagen, dass Sie nur die Markdown-Syntax übermitteln. Auf dem Frontend kann der Client Markdown schreiben und eine HTML-Vorschau (wie SO) haben, aber die Markdown-Syntax nur serverseitig übermitteln. Dann können Sie es validieren, den HTML-Code erzeugen, ihn entziffern und speichern.

Ich glaube, das ist die Art, wie die meisten von uns es tun. In jedem Fall ist Abzählen da, um jemanden davon abzuhalten, strukturierten HTML-Code zu schreiben, und denen, die nicht einmal wissen, wie man das macht.

Wenn es etwas Bestimmtes gibt, was Sie mit dem HTML machen möchten, dann können Sie es mit etwas CSS-Vererbung 'optimieren.' Cment a {color: # F0F; } ', Front-End-JS oder einfach über den generierten HTML-Code durch Parsing Markdown, bevor Sie es speichern.

Answer 4

Warum benutzen Sie nicht Jeffs Code? http://refactormycode.com/codes/333-sanitize-html

Answer 5

Sie können eine HTML-Whitelist verwenden, damit bestimmte Tags weiterhin verwendet werden können, aber alles andere ist blockiert.

Es gibt Tools, die dies für Sie tun können. SO verwendet the code, dass Slough linked.

Answer 6

Ich würde für die wählen, aber Sie müssen einige extra steps zu der zurückgegebenen Ausgabe too.

Answer 7

Wenn Sie es im Browser tun müssen: http://code.google.com/p/google-caja/wiki/JsHtmlSanitizer