javascript - 自定义用户 HTML 输入安全

Question

我正在用 php 创建一个网站。其中一项功能是用户可以通过输入自定义 html 代码来编辑自己的页面。现在，您可以将代码输入文本区域并将其显示在 div 中。将来我计划为用户添加更多有用的工具。

我的问题是如何保护我的网站免受恶意代码的侵害。我知道 Facebook 有一个选项可以将自定义 HTML 放在页面选项卡中，这样就可以安全地完成。目前，html 由一个 php 脚本显示，该脚本将其回显到页面上，以便用户可以在 <script> 中输入 javascript。标签也是如此。我不知道 javascript 和 html 的全部限制，但我知道嵌入到网站中的自定义 javascript 有可能把事情搞砸。

到目前为止，这是我的想法:

• 从用户代码中删除所有 javascript

  • 优点:简单
  • 缺点:用户不能用 javascript 做任何有趣的事情

• 限制javascript只在显示div内执行

  • 优点:安全的自定义 javascript
  • 缺点:可能不可能/非常困难

如果有人知道如何做到这一点或 Facebook 如何做到这一点，我很想知道!提前致谢。

Answer 1

如果您使用的是 php，一个很好的解决方案是使用 HTMLPurifier。它有很多选项可以过滤掉不好的东西，作为副作用，可以保证格式正确的 html 输出。