HTML5 的 contenteditable 属性应该是 XSS 安全的吗？

Question

我已经阅读了一些相关的问题div contenteditable, XSS，但它的答案并没有突出显示 contenteditable 的 XSS 安全性。特别是关于意外（与有意的跨站点脚本相比）。当然，我知道我应该在服务器端清理用户输入。

TL.DR.：我能否确定用户不会冒着通过设置contenteditable 的页面元素引入一些外部脚本（即通过从剪贴板粘贴的数据）的风险？规范是否确保粘贴到 contenteditable 的任何标记在插入 DOM 之前都经过清理？

我注意到在我测试的两个主要浏览器 Chromium/Chrome 和 Firefox 上，似乎不可能意外地将 活动元素 插入到 contenteditable 标记中。我想象的这种附带插入的例子是：

• 用户从一个网页复制一个 DOM 元素选择并将它们插入到另一个站点上的 contenteditable 元素中。
• 用户执行（在 linux 命令行上）echo "<b onclick='alert("XSS");'>click me</b>" | xclip -t text/html -selection "clipboard" 并将其粘贴到 contenteditable。

活动元素可以是：

• html 标记包含<script>
• html 标记包含带有内联处理程序的元素，例如 onclick="alert(\"XSS\");"
• 包含 javascript href 的 html 标记，例如 <a href="javascript:alert(\"XSS\")"> click me </a>

现在我的问题是，看到 contenteditable 似乎可以避免粘贴任何正常的 XSS 矢量，如果这是设计使然的话？

我读过一些specs/refs/whatever，其中既没有明确提到contenteditable 应该阻止任何活动元素 插入页面的DOM，也不允许这样做。这让我怀疑我是否应该使用 contenteditable 功能，因为我不想冒险将一些外部 javascript 插入到contenteditable 中。回答contenteditable这个XSS安全是这个问题的核心。

更新 与contenteditable 属性相比，类似的特性文档designMode 似乎是特定的（参见https://www.w3.org/TR/2008/WD-html5-20080610/web-browsers.html#designModeScriptBlocked）关于禁用javascript（因此防止XSS）。

更新 2 MDN 上引用的最新参考/规范是https://html.spec.whatwg.org/multipage/interaction.html#contenteditable 对于contenteditable 提供的不通过粘贴引入恶意 javascript 的任何保证，这奇怪的是漠不关心。

Answer 1

没有浏览器必须遵守的标准，因此每个浏览器都有自己的实现来处理用户输入。如果有办法，您可以确定用户会弄清楚如何做到这一点（旧版浏览器通常最容易受到影响）。清理用户的输入取决于您，无论是输入、粘贴等。（我必须为一个项目这样做，您无法依靠它“正常工作”）。

至于designMode，你链接的部分：

当要在禁用脚本的脚本执行上下文中执行脚本时，脚本必须什么都不做，也不返回任何内容（返回值无效）。

因此，例如，启用 designMode 将禁用由文档中的脚本设置的任何事件处理程序属性、事件侦听器、超时等。

这会让人觉得 designMode 让您“安全”，但请记住，规范会随着时间的推移而演变，因此如果不返回并测试所有不同的浏览器（或至少是您的用户拥有的浏览器），您永远无法确定.