从 URL 中删除 JavaScript

Question

我正在编写一个服务器端脚本，它将文本正文中的所有 URL 替换为 标记版本（以便可以单击它们）。

如何确保我转换的任何 url 中不包含任何 XSS 样式的 javascript？

我目前正在字符串中过滤“javascript:”，但我觉得这可能还不够。

Answer 1

任何现代服务器端语言都有 Markdown 或其他轻量级标记语言的某种实现。这些标记语言用可点击的链接替换 ​​URL。

除非您花费大量时间来研究这个主题并实现这个脚本，否则我建议您找到您语言中最好的 Markdown 实现并挖掘其代码，或者简单地在您的语言中使用它。代码。

Markdown 通常作为库提供；其中一些允许您配置它们必须处理的内容以及必须忽略的内容 - 在您的情况下，您想要处理 URL，忽略任何其他元素。

以下是不同语言的可靠 Markdown 实现的（不完整）列表：

• Markdown for Python
• RDiscount for Ruby

Answer 2

您需要对 URL 进行属性编码。
您还应该确保它们以 http:// 或 https:// 开头。

Answer 3

这是取自 Kohana 框架，与 XSS 过滤相关。这不是一个完整的答案，但可能会让你上路。

// Remove javascript: and vbscript: protocols
$str = preg_replace('#([a-z]*)[\x00-\x20]*=[\x00-\x20]*([`\'"]*)[\x00-\x20]*j[\x00-\x20]*a[\x00-\x20]*v[\x00-\x20]*a[\x00-\x20]*s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:#iu', '$1=$2nojavascript...', $str);
$str = preg_replace('#([a-z]*)[\x00-\x20]*=([\'"]*)[\x00-\x20]*v[\x00-\x20]*b[\x00-\x20]*s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:#iu', '$1=$2novbscript...', $str);
$str = preg_replace('#([a-z]*)[\x00-\x20]*=([\'"]*)[\x00-\x20]*-moz-binding[\x00-\x20]*:#u', '$1=$2nomozbinding...', $str);

// Only works in IE: <span style="width: expression(alert('Ping!'));"></span>
$str = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?expression[\x00-\x20]*\([^>]*+>#is', '$1>', $str);
$str = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?behaviour[\x00-\x20]*\([^>]*+>#is', '$1>', $str);
$str = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:*[^>]*+>#ius', '$1>', $str);