ユーザの入力内容に含まれるhtmlタグを適切に処理したい

Question

ユーザーにwysiwygエディタを使って記事を投稿してもらうサイトを作成しています。

ユーザーの入力値にhtmlタグが混入するため、DBへの保存時や画面に表示する時にhtmlspecialcharsを通せばOK、というわけには行きません。

今行っている対応として、

1. strip_tagsで特定タグ以外のタグを探す
2. 入力値の中にjavascript:という文字列が無いか探す

の2点を試しているのですが、XSS脆弱性は大変危険なのでこれで十分なのか漠然とした不安があります。

もう少し包括的かつシンプルなセオリーが有れば嬉しいのですが、そういった知見をお持ちの方、ご教授頂けると幸いです。

環境

• wysiwygエディタにはsummernoteを使用しています。
• サーバサイドはLaravel5.8を使用しています。

Answer 1

素人考えで書いても、確実に裏をかかれます。

HTMLPurifierのようなライブラリを使いましょう。

Comments

[shiro09]

ちょっと見た限りでも今回のケースに役立ちそうなライブラリですね！
ありがとうございます。こちらを調べてみます。

[shiro09]

結果、このライブラリで上手くいきました。
ご紹介ありがとうございました????

Answer 2

豆知識です、質問とはあまり関係ありません

今回の案件では不要かと思いますがユーザー投稿のJSを実行したい場合があるかと思います。
例えば下記のようなサイトです。

• jsfiddle
• codepen

このようなサイトでは、投稿サイトと閲覧サイトを別ドメインで管理し、CORSの効力で投稿サイトへのXSS（主にクッキーの抜き出し、勝手な操作等）を対処しています。(ソースを確認すると実行する所はiframeで別ドメインになっていると思います）
※閲覧用ドメインは何されてもOKという前提です

Comments

[shiro09]

私の今回のケースでは使い所が無いですがとてもタメになりました。
ありがとうございます！

Answer 3

DBへの保存時や画面に表示する時にhtmlspecialcharsを通せばOK、というわけには行きません。

DBへの保存時に必要なのはSQLのエスケープであってHTMLのエスケープではありません。
保存時にHTMLエスケープしてしまうと、勝手にユーザー入力値を改ざんすることになります。絶対にやってはいけません。

それに脆弱性はXSSだけではないので、
IPAの安全なウェブサイトの作り方を読んでしっかりと学んでください。

strip_tags

これだと探すのではなく否応なしに取り除いてしまいます。

入力値の中にjavascript:という文字列が無いか探す

HTMLエスケープを施せば無効化は可能では？

Comments

[shiro09]

すみません言葉足らずで所々誤解させてしまいました。
ユーザー入力によるXSSを防ぐため、意図しないタグ等をチェックしエラーとして弾きたいという考えです。

> それに脆弱性はXSSだけではないので、
存じておりますが、ここではXSSをどう防ぐか、というご相談をさせて頂いています。

> これだと探すのではなく否応なしに取り除いてしまいます。
strip_tagsを通す前、後の差異で許可しないタグの有無を調べるという意図です。

> HTMLエスケープを施せば無効化は可能では？
有効となるタグも存在するためhtmlspecialcharsによるエスケープは使えないという認識です。

つまるところ「単純にエスケープ処理が出来ない状況下でどうXSSを防ぐか」という質問となります。
迂遠な書き方となってしまい恐縮ですが改めてご回答頂けますと幸いです。

[m.ts10806]

質問本文に追記してもらえればと
ただ、ちゃんと書いたつもりが無言で低評価が複数入ってしまってるので、それに対してまた応えるかは見てから決めます