javascript - 在 html 标签中禁用 js

Question

我有一个网站，用户可以在其中使用 html 设置描述。我希望他们能够用 html 做所有事情，除了使用 js。无论如何禁用标签中的所有javascript？请记住，我指的是所有 javascript，包括 onclick 之类的东西。如果没有，是否可以使用某种正则表达式来过滤掉所有 xss 攻击？

Answer 1

您可以使用 CSP(内容安全策略)，尽管配置起来可能有点麻烦。它也不是 100% 安全的，因为它取决于客户端(浏览器)

• 您可以从外部加载所有脚本并阻止所有内联脚本。这可以通过 CSP 1 - browser support is pretty good for CSP 1. 来完成

  策略看起来像这样:

  Content-Security-Policy: script-src 'self';
  

• 和/或您可以将您的内联脚本 block 列入白名单，所有其他的都将被阻止。为此，您需要 CSP 2，浏览器支持较低。 The browser support is more limited, e.g. no IE

  政策示例:

  基于随机数

  Content-Security-Policy: script-src 'nonce-123' 
  

  允许执行<script nonce="123">safemethod()</script> , 阻止其他人

  哈希重击

  Content-Security-Policy: script-src 'sha256-07123e1f482356c415f684407a3b8723e10b2cbbc0b8fcd6282c49d37c9c1abc' 
  

  允许执行具有 07123e1f482356c415f684407a3b8723e10b2cbbc0b8fcd6282c49d37c9c1abc 的 sha 256 哈希(内容的哈希)的脚本, 屏蔽其他人。