perl - HTML :: StripScriptsは、最新のエクスプロイトを削除するのにまだ安全ですか？

Question

XSS、画像の挿入、作品など、いたずらなものを取り除く方法がPerlに必要です。

HTML :: StripScriptsを見つけましたが、2年近く更新されておらず、すべての新しいエクスプロイトについて最新ではありません。

安全ですか？

他にどのようなマークアップ言語（Perl）を使用しますか？

Answer 1

XSS は膨大なトピックであり、エクスプロイトは 1 日おきに出てきます。

スクリプトを削除するだけでは、コードやサイトは安全になりません。

特定のものを削除 (ブラックリストに登録) しようとしない方がよいでしょう。サイトで許可する html/特殊文字をホワイト リストに登録する方が安全です。すなわち<b>, <i>

Defangは、cpan 上の perl 用の最新/最高のアンチ XSSライブラリのようです

ブラックリストとホワイトリスト

OWASP XSSチートシート

そして、CAL9000で遊んで、XSS がどれほど広範で扱いにくいかを理解することをお勧めします。

Answer 2

HTML::StripScripts はホワイトリストであり、ツリーベースのパーサーを使用でき、ホワイトリストと同じくらい安全でなければなりません。