2
关注
663
浏览

HTML5的contenteditable属性应该是XSS安全吗？

我已经阅读了有关的相关问题div contenteditable, XSS，但其答案并没有强调关于XSS的contenteditable安全问题。特别是关于意外（与内部跨站脚本相比）。当然，我知道我应该清理用户输入服务器端。HTML5的contenteditable属性应该是XSS安全吗？

TL.DR.：我可以肯定的是，用户并不突出风险引入一些外部脚本（即通过从剪贴板粘贴的数据。）通过页面元素被设置contenteditable？规范是否确保粘贴到contenteditable的任何标记在插入到DOM之前都已经过消毒处理？

我注意到，在我试验了两种主要的浏览器，铬/ Chrome和Firefox，这似乎是不可能的意外插入活性元素到contenteditable标签。

  • 用户复制DOM元素从一个网页上的选择和它们插入contenteditable元素在其他网站上：对于这样的斯瓦特插入我会想到是例如一个例子。
  • 用户在（在Linux命令行上）echo "click me" | xclip -t text/html -selection "clipboard"并将其粘贴到contenteditable中。

一种有源元件将是类似的东西：

  • 包含含有与内联处理程序如onclick="alert(\"XSS\");"
  • 包含JavaScript的HREF诸如HTML的标记元素一个