Angular 2 DomSanitizer：如果不允许 JavaScript，就不能同时信任 HTML 和 CSS

Question

我有用户输入需要保存到后端并作为 HTML 呈现给其他用户。它需要支持链接和 CSS 样式，但去掉 JavaScript 以避免 XSS 攻击。

考虑test = "<span style='color: red;'><strong>Test</strong></span><img src='#' onerror='alert(1)' hidden><script>alert(2)</script>" 的测试输入值。如果我使用 DomSanitizer 中的 bypassSecurityTrustHtml，它会留下所有内容，包括不安全的 JavaScript：

this.sanitizer.bypassSecurityTrustHtml(test)
// returns "<span style='color: red;'><strong>Test</strong></span><img src='#' onerror='alert(1)' hidden><script>alert(2)</script>"

但是，如果我使用 sanitize 方法，它会取出 JavaScript，但也会删除 CSS：

this.sanitizer.sanitize(SecurityContext.HTML, test);
// returns "<span><strong>Test</strong></span><img src="#" hidden="">alert(2)"

我是否可以使用 DomSanitizer 保留 HTML 和 CSS 但删除 JavaScript？还是我需要使用另一个库？

Answer 1

样式属性并不安全，因此如果您不 110% 信任您的用户，请不要允许他们使用。您的应用程序的安全性取决于其最薄弱的环节。这可能就是为什么角度也会剥离它们。如果你必须解决这个问题，你需要另一个解决方案。

有很多方法可以用样式来做 xss，但考虑一些简单的方法：

<a href="https://malicious.site" style="position:absolute;z-index:9999;top:0;left:0;bottom:0;right:0;opacity:0">You can't see me</a>