Html-react-parser: क्या एचटीएमएल-रिएक्शन-पार्सर एक्सएसएस को अलग करता है?

को निर्मित 8 मार्च 2019 · 9टिप्पणियाँ · स्रोत: remarkablemark/html-react-parser

मैं अपने सीएमएस से एचटीएमएल को स्वच्छ और पार्स करने के लिए एचटीएमएल-रिएक्शन-पार्सर का उपयोग करना चाहता हूं। क्या यह एक्सएसएस हमलों से इनपुट को प्रभावी ढंग से स्वच्छ करता है? https://stackoverflow.com/questions/29044518/safe-alternative-to-dangerouslysetinnerhtml#answer -48261046 दावा करता है कि यह करता है। यदि ऐसा है, तो मुझे लगता है कि इसे रीडमे में कहीं दस्तावेज/विज्ञापन करना बहुत अच्छा होगा। इस पर आपके काम के लिए धन्यवाद।

question

स्रोत

dave-stevens-net

सबसे उपयोगी टिप्पणी

मैं sanitize-html का उपयोग नहीं करना चाहता था, क्योंकि यह बड़े पैमाने पर . मैंने इसके बजाय dompurify का उपयोग किया, यह 10 गुना छोटा है, और CSS को नहीं हटाता है।

import parse, { domToReact } from 'html-react-parser'
import DOMPurify from 'dompurify'
import React from 'react'

// export function replaceNode() {}

export default function html(html, opts = {}) {
  return parse(DOMPurify.sanitize(html), {
    ...{
      replace: replaceNode,
    },
    ...opts,
  })
}

html('<iframe src=javascript:alert("xss")></iframe>')

k1sul1 9 जुल॰ 2019

👍12

सभी 9 टिप्पणियाँ

बढ़िया सवाल @ डेव-स्टीवंस-नेट!

दुर्भाग्य से ऐसा नहीं होता है। इसका कारण यह है कि मैंने इस पुस्तकालय को सख्त बनाने के बजाय लचीला बनाना चुना।

हालांकि प्रतिस्थापन विकल्प है, सभी संभावित हमलों के खिलाफ जांच बहुत अधिक हो सकती है। मैं इसके बजाय एक XSS सैनिटाइज़र का उपयोग करने की सलाह देता हूं जिसमें खतरनाक रूप से SetInnerHTML

remarkablemark 8 मार्च 2019

जानकर अच्छा लगा। शीघ्र जवाब देने के लिए ध्न्यवाद।

dave-stevens-net 8 मार्च 2019

आपका स्वागत है। अगर यह आपके प्रश्न @ डेव-स्टीवंस-नेट का उत्तर देता है, तो क्या समस्या बंद हो सकती है?

remarkablemark 8 मार्च 2019

@ डेव-स्टीवंस-नेट मैंने इस पुस्तकालय के एक्सएसएस सुरक्षित नहीं होने के बारे में पहले गलत बताया होगा।

मैंने मूल रूप से सोचा था कि यह पुस्तकालय एक्सएसएस-सुरक्षित नहीं था क्योंकि dangerouslySetInnerHTML यहां निर्भर था।

हालांकि, ऐसा लगता है कि मैं किसी भी XSS भेद्यता को पुन: उत्पन्न करने में असमर्थ हूं। मेरी बेला देखें, जो इस उदाहरण पर आधारित है।

मुझे बताएं कि क्या आपके पास एक्सएसएस हमलों को पुन: उत्पन्न करने में कोई भाग्य है।

remarkablemark 9 मार्च 2019

मैं एक साधारण XSS हमले को पुन: पेश करने में कामयाब रहा। और भी हो सकता है।

मेरी बेला की जाँच करें।

मैंने इसे यहां https://www.in-secure.org/misc/xss/xss.html पर पाया

harveydf 13 मार्च 2019

👍6

मैंने sanitize-html पैकेज निर्भरता का उपयोग करके एक

import React from 'react'
import sanitizeHtml from 'sanitize-html'

const Sanitize = ({ html }) => {
    const clean = sanitizeHtml(html, {
        allowedTags: sanitizeHtml.defaults.allowedTags.concat(['img', 'span']),
        allowedAttributes: {
           ...
        },
    })
    return (
        <span
            className="sanitized-html"
            dangerouslySetInnerHTML={{ __html: clean }}
        />
    )
}
export default Sanitize

उदाहरण उपयोग:

<Sanitize html={data.wordpressPage.title} />

dave-stevens-net 13 मार्च 2019

❤6

@harveydf बढ़िया खोज! बेला बनाने और साझा करने के लिए धन्यवाद।

मैं यह नोट करने के लिए README.md अपडेट करूंगा कि यह लाइब्रेरी XSS सुरक्षित नहीं है।

remarkablemark 14 मार्च 2019

import parse, { domToReact } from 'html-react-parser'
import DOMPurify from 'dompurify'
import React from 'react'

// export function replaceNode() {}

export default function html(html, opts = {}) {
  return parse(DOMPurify.sanitize(html), {
    ...{
      replace: replaceNode,
    },
    ...opts,
  })
}

html('<iframe src=javascript:alert("xss")></iframe>')

k1sul1 9 जुल॰ 2019

👍12

dompurify @ k1sul1 का उपयोग करके अपना दृष्टिकोण साझा करने के लिए धन्यवाद!

मैंने आपके उदाहरण के आधार पर एक Repl.it डेमो बनाया है।

remarkablemark 14 जुल॰ 2019

❤2

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Html-react-parser: क्या एचटीएमएल-रिएक्शन-पार्सर एक्सएसएस को अलग करता है?

सबसे उपयोगी टिप्पणी

सभी 9 टिप्पणियाँ

संबंधित मुद्दों