是否有必要添加缺失的结束标签作为清理 HTML 的一部分以防止 XSS 攻击？

Question

我正在使用 Sanitize gem 来禁止可用于 XSS 攻击的 HTML 代码。副作用是，HTML 也会被清理。添加缺少的结束标签。这通常没问题，但在许多情况下它会改变内容的格式。 最终，我想完全清理 HTML，但不想将其作为保护网站免受 XSS 攻击的一部分。

那么，缺少结束标签（例如 ）是否是潜在的 XSS 漏洞？如果没有，我该如何阻止 Sanitizer 尝试清理 HTML？

Answer 1

Sanitize 构建于 Nokogiri：

因为它基于 Nokogiri（一个成熟的 HTML 解析器），而不是一堆脆弱的正则表达式，所以 Sanitize 可以轻松处理格式错误或恶意形成的 HTML，并且始终输出有效的 HTML 或 XHTML< /strong>.

强调我的。所以答案是“不”，您必须修复损坏的 HTML。

Nokogiri 必须修复 HTML，以便可以正确解释它并可以构建 DOM，然后 Sanitize 将修改 Nokogiri 构建的 DOM，最后修改后的 DOM 将被序列化以获得您要存储的 HTML。

如果您浏览 Sanitize 源代码，您会发现所有内容最终都会经过 clean! 并且将使用 Nokogiri 的 to_html 或 to_xhtml 方法：

if @config[:output] == :xhtml
  output_method = fragment.method(:to_xhtml)
  output_method_params[:save_with] = Nokogiri::XML::Node::SaveOptions::AS_XHTML
elsif @config[:output] == :html
  output_method = fragment.method(:to_html)
else
  raise Error, "unsupported output format: #{@config[:output]}"
end

result = output_method.call(output_method_params)

所以你得到了 Nokogiri 的HTML 版本，而不仅仅是删除了不良部分的 HTML。

Answer 2

也许您可以按照文档中的说明配置 sanitize：

默认情况下，Sanitize 会删除所有 HTML。您可以使用内置的之一
配置告诉 Sanitize 允许某些属性和元素：

Sanitize.clean(html, Sanitize::Config::RESTRICTED)
# => 'foo'

Sanitize.clean(html, Sanitize::Config::BASIC)
# => 'foo'

Sanitize.clean(html, Sanitize::Config::RELAXED)
# => 'foo

src="http://foo.com/bar.jpg"/>'

或者，如果您想更好地控制允许的内容，您可以提供
您自己的自定义配置：

Sanitize.clean(html, :elements => ['a', 'span'],
    :属性=> {'a' =>; ['href', '标题'], '跨度' =>

['类']},
：协议=> {'a' =>; {'href'=>; ['http', 'https',
'mailto']}})

引用自 wonko.com