1

私のCMSアプリケーションでは、管理ユーザーはHTMLPurifierによってフィルタリングされるWYSIWYGエディターを介してHTMLコンテンツを追加できます。メッセージボード機能を追加したいと思っています。ホワイトリストなしでZendStripTagsFilterを使用してすべてのHTMLを削除し、ZendのBBCodeまたはTextileパーサーを使用して豊富なマークアップを提供することを計画しています。

これらは私の質問です：

  1. StripTagsホワイトリストがない場合、XSSは成功しますか？
  2. 出力パーサーとしてBBCodeまたはTextileを追加すると、XSSの可能性が再導入されますか？
4

1 に答える 1

2

ここSOでMarkdownに関する投稿を読み、その投稿への回答にリンクされている別の記事を読んだ後、XSSをドキュメントに再導入することは可能であるだけでなく、些細なことのようです。安全を確保するために、出力フィルターチェーンの最後のステップとして、HTMLPurifierを介してコンテンツを実行する必要があります。出力フィルターとしてのHTMLPurifierのパフォーマンスに関心があるため、代わりにWibbleを使用することを検討しています。

これでも最初の質問は未回答のままですが、私の場合、その手順は不要です。

それらを使おうとすると、ZendのBBCodeとTextileがひどくバグがあることに気づきました。代わりにPHPMarkdownを使用しました。また、Wibbleはまだ本番環境に対応していないようです。

データベースで2つの列を使用しました：contentとhtml。このcontent列には、ユーザーが送信したテキストが保持されます。レコードを保存するとき、PHP Markdowncontentを使用してHTMLに変換し、 HTMLPurifierを通過させてから、その値を列に保存します。私はすべてのビューをそのように変換しているわけではありません。html

実装の詳細

ここにPHPMarkdownを置きます：library/markdown.php。私のアクティブレコードモデルでは、を使用して、レコードが保存される前に、フックを使用して値を処理しますZend_Db_Table_Row_Abstract。_insert()_update()

// prepare html based on the content
require_once 'markdown.php';
$flt = new My_Filter_HtmlPurifier();
$this->html = $flt->filter(Markdown($this->content));

これが私のHTMLPurifierフィルターです：

/**
 * Based on examples from http://blog.astrumfutura.com/archives/365-Example-Zend-Framework-Blog-Application-Tutorial-Part-8-Creating-and-Editing-Blog-Entries-with-a-dash-of-HTMLPurifier.html
 */
require_once 'HTMLPurifier.includes.php';
require_once 'HTMLPurifier.autoload.php';

class My_Filter_HtmlPurifier implements Zend_Filter_Interface
{
    /** @var HTMLPurifier */
    protected $_htmlPurifier;

    public function __construct($options = null)
    {
        // set up configuration
        $config = HTMLPurifier_Config::createDefault();
        $config->set('HTML.DefinitionID', 'My HTML Purifier Filter');
        $config->set('HTML.DefinitionRev', 3); // increment when configuration changes
//        $config->set('Cache.DefinitionImpl', null); // comment out after finalizing the config

        // Doctype
        $config->set('HTML.Doctype', 'XHTML 1.0 Transitional');

        // Add support for object (flash) tags
        $config->set('HTML.SafeObject', true);
        $config->set('Output.FlashCompat', true); // IE Support

        // Custom Filters
        // Add support for iframes - YouTube, Vimeo...
        $config->set('Filter.Custom', array(new HTMLPurifier_Filter_MyIframe()));

        // Add support for anchor targets
        $config->set('Attr.AllowedFrameTargets', array('_blank', '_self', '_target', '_top'));

        // configure caching
        $cachePath = CUST_APP_PATH . '/../cache/htmlpurifier';
        if (!is_dir($cachePath)) {
            mkdir($cachePath, 0700, true);
        }
        $cachePath = realpath($cachePath);
        $config->set('Cache.SerializerPath', $cachePath);

        // allow for passed-in options
        if (!is_null($options)) {
            //$config = HTMLPurifier_Config::createDefault();
            foreach ($options as $option) {
                $config->set($option[0], $option[1], $option[2]);
            }
        }

        // create the local instance
        $this->_htmlPurifier = new HTMLPurifier($config);
    }

    public function filter($value)
    {
        return $this->_htmlPurifier->purify($value);
    }
}
于 2011-10-17T15:16:59.010 に答える