私はLAMP環境（debian、apache、php、mysql）で動的にWebサイトのいくつかの側面（yes、何らかのcms）を管理できるWebアプリケーションを開発しました私のユーザーはリスクなしでHTMLコードを挿入できますか？
さて、たとえば、私のサーバー上のプライベートエリアにニュースを作成すると、cURLリクエスト（またはajax）を介して自分のウェブサイトに公開されます。
ニュースは、WYSIWYGエディタ（fck、おそらくtinyMCE）で作成されます。
私はhtmlタグを許可できませんが、どうすれば安全ですか？ どのようなタグを削除する必要がありますか（javascripts？） それはサーバーセーフであることを意味しますが、「法的に」安全な方法は？ ユーザーが自分のアプリケーションを使用してxssを作成する場合、法的に問題がありますか？
PHPを使用している場合、優れた解決策はHTMLPurifierを使用することです。これは、悪いものをフィルタリングするための多くのオプションがあり、副作用として、よく形成されたHTML出力を保証します。私は敵対的な環境になる可能性のある迷惑メールを見るために使います。
HTMLを許可するのではなく、HTMLに変換できる他のマークアップが必要です。ユーザー入力から不正なHTMLを取り除くしようとしていることは、ここ
<script etc="...">
Uだと思うので、記事で、このように誰もがスクリプトインジェクションを通して、あなたのウェブサイトをハックすることはできませんブラックリストではなくホワイトリストを歌い、この問題を解決します。 – Gumbo
imgタグの回答を参照してください。http://stackoverflow.com/questions/701580/how-can-i-allow-my-user-to-insert-html-code-without-risks-not-only-technical-r/701609＃701609 – cjk
XSSはBBcodeのような他のマークアップ言語でも可能ですので、実際には何も修正されません。ホワイトリストアプローチはかなりうまく機能します。 – troelskn
あなたが削除しようとしているものは本当に問題ではありません。誰かが常にそれを回避する方法を見つけるでしょう。参考として、XSS Cheat Sheetをご覧ください。一例として、
、どのようにあなたは、この有効なXSS攻撃を削除しようとしている。
<IMG SRC=javascript:alert('XSS')>
あなたの最良のオプションは、許容可能なタグのサブセットのみを許可し、何かを削除しています。このプラクティスはWhite Listingとして知られており、XSSを防止するための最良の方法です（HTMLを禁止する以外にも）。
テストでチートシートを使用してください。あなたのウェブサイトでできるだけ多くの火を放ち、XSSを実行するいくつかの方法を見つけようとします。
+1のチートシート –
タグを削除することが難しい場合は、ユーザーが有効なHTMLデータを入力するまで、HTMLデータ全体を拒否することができます。 次のタグが含まれていると、HTMLを拒否します。
フレームセット、フレーム、iframe、スクリプト、オブジェクト、埋め込み、アプレット。
また、あなたがあなた自身で提供したいので、あなたがメタデータを操作することを望まないため、頭（およびサブタグ）、本文、htmlは許可しないでください。
しかし、一般的に言えば、ユーザーが自分のhtmlコードを提供できるようにすると、常にセキュリティ上の問題が発生します。
HTMLをまったく許可するのではなく、BBCodeやMarkdownのようなHTML用のスタンドインを実装することを検討したいかもしれません。
stackoverflowが使用するホワイトリストアプローチのC＃の例では、this pageを見ることができます。
Kohana's security helperです。私が覚えていることから、それは別のプロジェクトから取られました。
しかし、私はLFSR Consulting's answerから
<IMG SRC=javascript:alert('XSS')>
をテストし、それが正しく、それを免れました。
それは私は、ユーザーが安全に投稿することができますしたいと私は使用することができ、わずか数のタグを許可するので、私はこのPHPのstrip_tagsの機能を使用し、あなたがそれを
$string = strip_tags($_POST['comment'], "<b>");
これは質問への回答を提供しません。十分な[評判]（https://stackoverflow.com/help/whats-reputation）があれば、[投稿にコメントする]ことができます（https://stackoverflow.com/help/privileges/comment）。代わりに、[質問者からの明確化を必要としない回答を提供する]（https://meta.stackexchange.com/questions/214173/why-do-i-need-50-reputation-to-comment-what-can- i-do-代わりに）。 - [レビューの投稿]（/レビュー/低品質の投稿/ 18479859） – codechurn
を使用することができますPHPの非常に良い機能です私はstrip_tagsが最良の選択肢
私はこのやり方に加え、いくつかの個人的なステップをとることに決めました。 htmlタグ（ 'WYSIWYGエディタのcos'）を使用して特定のものだけを制限する私のcostumersに完全な自由を与える必要があります。私はそれが最新のセキュリティドアで更新され続けることを願っています。 – Strae
私は自分の努力を信頼することをもっと信頼しています.... – DGM