javascript - 防止通过 file_get_contents 执行 javascript

Question

有没有办法配置 PHP/服务器(通过 Nginx php-fpm)以防止从 php file_get_contents 执行 javascript？

现在，如果我允许用​​户上传嵌入了 js 的 html 文件，当通过 file_get_contents() 调用显示文件时，JS 将被执行。

我计划添加 HTML 过滤(即拒绝 html 上传)，但如果我可以在输出上有第二层安全性，而不是只在上传上(以防第一层无法接受)，那就更好了帐户 so 场景)。

谢谢

Answer 1

感谢 jcubic 提供了解释为什么他的解决方案不起作用的链接 ;)

我只知道 2 个可靠的解决方案:

1) 使用 HTML 以外的标记语言，它具有可证明的语法并且不允许嵌入脚本(BBCode？)。这still requires that you validate the submission合规性 - 但比 HTML 更简单。

2) 应用 content security policy它不允许内联 javascript - 这将是我的首选解决方案，尤其是因为您可以指定报告 URL，从而允许您监管浏览器上发生的事情，而不是依赖服务器上的过滤。