xss - Markdown 和 XSS

Question

好的，所以我一直在阅读关于此处和其他地方的 Markdown ，并且用户输入和数据库之间的步骤通常被给出为

将 markdown 转换为 html

清理 html(带白名单)

插入数据库

但对我来说，做以下事情更有意义:

清理 Markdown (删除所有标签 -
没有异常(exception))

转换为 html

插入数据库

我错过了什么吗？在我看来，这几乎是防 xss 的

Answer 1

请看这个链接:

http://michelf.com/weblog/2010/markdown-and-xss/

> hello <a name="n"
> href="javascript:alert('xss')">*you*</a>

成为

<blockquote>
 <p>hello <a name="n"
 href="javascript:alert('xss')"><em>you</em></a></p>
</blockquote>

∴ 您必须在转换为 HTML 后进行清理。