Edytowanie kodu html

[Makary155]

Chciałbym udostępnić użytkownikom możliwość edytowania profilu nie przez bbcode a przez tagi html, jednak stwarza to jednak niebezpieczeństwo ataku XSS. Da się jakoś zabezpieczyć przed atakiem a jednocześnie dać możliwość używania tagów (XSS -Cross Site Scripting, dołączanie do strony obcych skryptów) ? Jedyne co mi przychodzi do głowy to usunięcie z pola wszystkich słów "script".

[Kofel]

Usunięcie JS to nie wszystko ;) Ogólnie to wystarczyło by chyba jeszcze usunąć atrybuty style i class z każdego tagu.

[Makary155]

A w jakim celu mam usuwać atrybut style? Przez style też można shakować strone?

[Tymon]

Przez dużo rzeczy można to zrobić.

 

Generalnie to polecam zrobić listę dozwolonych tagów i ich atrybutów - te z kolei dodatkowo poddawać filtracji. To wszystko.

[Kofel]

A w jakim celu mam usuwać atrybut style? Przez style też można shakować strone?

Przez XSS nie "shackujesz" niczego. Ew. możesz zmylić użytkownika końcowego.