HTML編集機能のXSS対策

Question

現在開発中のWebアプリケーションで、はてなブログのようなHTML編集が可能な投稿機能を実装しようと考えています。

この場合、XSSへの対策はどのようにしたら良いでしょうか

要件は、

• 限られたユーザーが記事を投稿できる
• 記事の装飾のためにHTMLの記述で記事を作成できる
• HTMLの主な使用目的は
• hタグ等の文字装飾
• imgタグ、aタグ等の単純な文字以外の要素の挿入
• 予め用意されている共通のスタイルをclassで指定して文字に適用する
• などがある
• <script>等のタグの使用はできない

といった感じです
(要件定義について不勉強なためわかりづらいかもしれないです、申し訳ありません)

Comments

[m.ts10806]

どこまでするつもりなのか要件を記載してください。設計次第です。

Answer 1

使用できる装飾が決まっていて自力で実装する前提ならteratailのマークダウンのような機能にしては。classがあるのでしたら尚更自由にHTMLを投稿させてはいけないかと思います。

そうでないのでしたら基本的にはそのままコードを受け入れ、そのまま出力します。
ブログによるかもしれませんが、大抵は使えるタグが限られていたり提示のようにscriptやstyle不可だったり制限があります。
もっと細かく要件を決めたほうが良いです。