webページのセキュリティについて質問です。
ユーザに対してWYSIWYGエディタを提供して、一部のHTML要素をホワイトリストで許可しようと考えています。テキスト装飾関連とimg要素・a要素を許可する予定です。
それに加えてYouTubeのコード埋め込みも実現したいのですが、object要素param要素やembed要素を許可すると、XSSやCSRFなどのリスクがあるでしょうか？
※ 有料アンケート・ポイント付き質問機能は2023年2月28日に終了しました。
ログインして回答する
みんなの回答
-
MAiNItItuKarERu
満足50pt
それはやはり無視できませんね... objectは意外と万能タグなので...
objectはiframeとほぼ同様の動作も実現できてしまいますし、swfファイルの読み込みにも使われます。
一番よいと思われるのは、存在しない独自形式タグを自動で置き換えるような形だと思います。
たとえば、<<YOUTUBE URL=http://hoge>> を自動でYouTube埋め込みようタグに変換する、等。
テンプレートにjavascriptを組み込んでおくなどでも良いかと。
ただただ既にある要素を許可、禁止にしているだけでは危険かもしれませんね...
-
Lhankor_Mhy
-
- その他の回答を読む
Lhankor_Mhy
この質問へのコメント
質問の情報
- 登録日時
- 2010-11-01 16:05:33
- 終了日時
- 2010-11-06 09:08:43
- 回答条件
- 1人2回まで
この質問のカテゴリ
この質問に含まれるキーワード
人気の質問
-
ブレインストーミングしてくれるサイト、webサービスがあったら色々教えてください 特定少数の人がアイデア…
tak
1
1
-
不満なことを周りに当たり散らして会社で浮いた存在になるのと、辛抱して鬱病になるのは、どちらがマシで…
coccinellab21
-
【今年の漢字】(2023年)を予想してみてください。 ※遠慮なく気軽にどうぞ。(^_^; ※参考URL http://www.ka…
rsc23
-
小６不登校なんですが、勉強も遅れて中学に向けて不安でいっぱいです 誰かに相談しようと思っても、不登校…
匿名質問者1
-
こんな親友がいます（付き合い５年） LINEで話してる途中にyoutubeを見にいって会話を途切れさす 約束の時…匿名質問者1