javascript - 在特定 block /div(包含可疑 HTML)中禁用 javascript？

Question

是否可以以任何方式禁止浏览器在 block /部分/元素内执行脚本？

我的方案是，我让我的( future )用户创建“丰富的内容”(使用 CK-editor)。稍后将向其他用户显示的内容 - 包含所有隐含的危险:xss、重定向、身份盗用、垃圾邮件等等......

在看到有多少已知的“攻击向量”之后，我或多或少地放弃了尝试“清理”传入的 XHTML:http://ha.ckers.org/xss.html

我真正想要的是这样的东西:

<scriptOFF>

可疑的 HTML

/scriptOFF>

Answer 1

理想的方式是不接受来自最终用户的 html/javascript。如果您可以接受该限制，则只需确保您 encode the output根据适当的上下文。不要重新发明轮子，只需为此目的使用现有的库即可。

但是如果您必须接受 HTML，请使用类似 OWASP's ANTI-SAMY 的库或 HTML Purifier .它们正是为此目的而 build 的。