ユーザー編集可能なHTML XSS保護（tumblrのようなもの）

Question

私のサービスにはこのような機能があります。作成者はページを完全にカスタマイズできますが、ユーザーのCookieを盗むことはできません。

Tumblrのはそれでいくつかのトラブルがあったが、成功しhttp://www.riyazwalikar.com/2012/07/stored-persistent-xss-on-tumblr.html

それらを解決だから私は

1. なし節度を持つソリューションが必要
2. ユーザー-作家、ドンのためのページのHTMLコードへのフルアクセスホワイトリストのフィルタリングとテンプレート言語が必要です（これは現在動作しています:(）
3. 他の人を盗む機会はありません（他の著者のページで）
4. 望ましい集中型の認証DB
5. ：認証なしで各著者ページの

私はtumblrの理解では：

互いに
1. のユーザーがまだ上に認証されているのクッキーにアクセスすることなく、
2. 別々のドメイン各サブドメイン（HOW ??? www.tumblr.com jsはメインのセッションCookieにアクセスできますか？ ..？安全な？）
3. 認証クッキーをHttpOnlyのでなければならないこと

である私は、ユーザーのソリューションのための安全で快適なことはできますか？ cookie-盗難はhtmlへのフルアクセスの主な問題ですか？

Answer 1

私のサービスにはこのような機能があります。作成者はページを完全にカスタマイズできますが、ユーザーのCookieを盗むことはできません。

だから私はそれらのためにjavascriptを有効にしたいと思いますが、あなたはクッキーを操作することを許可したくありません。これは単純でなければなりません。ただ、ユーザーのページがロードされる前にそれを置く：

if (document.__defineGetter__) 
{  
    document.__defineGetter__("cookie", function() { return ""; }); 
    document.__defineSetter__("cookie", function() { }); 
} 
else // IE 
{ 
    Object.defineProperty(document, "cookie", 
    { 
     get: function() { return ""; }, 
     set: function() { return true; }, 
    }); 
} 

---

ユーザーがまだ各サブドメインに認証され

（HOW ??? www.tumblr.com jsがメインセッションクッキーへのアクセスを持っています？それは安全ですか？）

これも簡単です - クッキーはこれをサポートしています。そのdomain属性：

Set-Cookie: name=value; path=/; domain=.example.com 

---

認証クッキーがなければなりませんHttpOnlyの..もちろん

- 彼らはセキュリティを強化するためにすべきですか？。