信頼できないテキストでハイパーリンクを安全にレンダリングする

Question

プロジェクトの一環として、Webフォームを使用してユーザーからのテキストを受け取り、Webページに表示します。彼らが提供するテキストはURLを含んでいるかもしれません、もし私が改善された経験のためのハイパーリンクとしてそれをレンダリングしたいのであれば。たとえば、ユーザーがhttp://www.google.comを含むテキストを送信して、それを<a href="http://www.google.com">...に変更したい場合は

これを実行する際に、私が知っておくべきことは何ですか？私はXMLライブラリが特殊文字をエスケープするので、単純なXSS挿入を避けるための対策を既に講じていますが、より洗練された攻撃があると思います。

Answer 1

javascript：を無視するだけでなく、他のプロトコルで起動または制御できる特定のアプリケーションがあるため、おそらくhttp：プロトコルのハイパーリンクを作成する必要があります。 Steam、Skype、AOL Messengerが気に入っています。

Answer 2

URLを囲むのがaの場合は、悪意のあるURLを入力すると（短縮される可能性があります）、クリックするだけで問題が発生します。 （例えば、任意にJavaScriptなどを実行することはできません）。

URLを一致させるときは、擬似プロトコルjavascript:を使用しないでください。素晴らしいことは何も起こり得ない。