使用jquery删除脚本标记是否足以防止XSS攻击？

Question

我们使用WYSWIG编辑器(Froala编辑器)并存储用户创建的原始HTML。因此，转义字符串不是一个选项。我打算将HTML字符串存储在引号中的变量或数据属性中。然后，读取该HTML并使用jquery的parseHTML删除脚本标记，并在将该HTML加载到编辑器之前只保留某些属性。这种方法是否足以防止所有XSS攻击？

Answer 1

事实并非如此。以下是一些反例：

• <a href="javascript:alert(1)">
• <div onclick="alert(1)">
• <img src="javascript:alert(1)"> (在现代浏览器中实际上不再起作用)
• <div style="background-image: url(javascript:alert(1))"> (不再起作用)

部分困难在于它还取决于用户使用的浏览器。底线是，你需要一个适当的消毒液，这也可以在客户端。(它也可以在服务器上，但考虑编辑器的“预览”功能，如果有任何预览，如果没有将预览发送到服务器，服务器端的消毒液就没有多大用处。*)

Google Caja是(曾经？)一个html清理程序项目，也有一个纯javascript组件。有其他解决方案也是。

请注意，编辑器javascript必须支持在将其插入DOM之前通过自定义清除器运行其内容，如果要在javascript中这样做的话。