如何停止任何下一个 JavaScript 事件以避免 XSS

Question

我想在浏览器中显示一个带有 HTML 执行（格式化）的文本，这样它就很容易阅读，但不需要任何 JavaScript 执行。这是一个很大的文本，很难在 HTML 标记之间阅读。所以，执行 HTML 而不是 JavaScript。

我做了什么：我将此文本加载到 <iframe> 中，这样我就可以完全控制，我尝试像这样显示文本：

<script>
throw new Error('This is just to abort javascript');
</script>
<?php echo $text ?>
<script>
throw new Error('This is just to abort javascript');
</script>

控制台确实显示错误，但即便如此，如果我有 $text = '<script>alert(1)</script>'; 这个脚本无论如何都会被执行。

另一个我想避免的 XSS 示例。 $text = '<a href="#" onmouseover="alert(1)">this is a fake url</a>';

基本上，中止页面中的任何 JavaScript 执行。

提前致谢！

Answer 1

不幸的是，这实际上是不可能的。这不起作用的原因是错误会阻止 该脚本 执行，但不会阻止页面上的所有脚本执行。

如果您信任来自用户的 HTML 输入，那么您只会遇到 XSS 漏洞，除非您尝试解析他们的输入并删除任何可能导致 javascript 事件触发的内容。不要尝试这个，如果你这样做，你会很心痛。

最终，这就是 MarkDown 和 Textile 这样的东西存在的原因。

我猜“你应该做什么”的答案取决于你期望用户实际发送给你的内容，但最终你应该通过htmlentities 和/或strip_tags 运行任何用户输入

Answer 2

您可以指定 Content Security Policy 以防止任何内联 JavaScript 执行。

See here 用于浏览器兼容性。

还建议通过 HTML sanitizer 运行任何用户输入，因为这将有助于保护不支持 CSP 的浏览器。也推荐使用 BBcode 或类似 MarkDown 的东西，而不是允许用户输入原始 HTML，因为这样更简单（而且复杂性是安全的敌人）。