CodePenなどのオンラインエディタにおけるXSS対策

Question

CodePenのようなユーザが入力したソースコードをブラウザ上で実行できるサービスがありますが、そのようなサイトでのXSS対策について知りたいです。

一般的にはユーザからの入力内容はサーバ側でサニタイズ処理を行って、悪意のあるスクリプトの記述などが実行されないようにされているかと思うのですが、上記のようにユーザの入力したスクリプトをそのままブラウザで実行するようなサービスではどのように対策をしているのでしょうか？

例えばCodePenのあるユーザが悪意のあるスクリプト(JavaScript)を記載したページを他ユーザが閲覧した時に、そのスクリプトが実行されてしまうというリスクはないものなのでしょうか？

Comments

[m.ts10806]

同じような質問を過去に見たことがあるような気がします。おそらく今年の話。探してみてください。

[tsuyo_244]

ありがとうございます！探してみたのですがこちらでm.ts10806さん回答されてますね。
https://teratail.com/questions/287331

確かにscriptやstyleタグをはじくようにすることでHTMLの入力にはある程度は防止できるのかなと思いました。

Answer 1

例えばCodePenのあるユーザが悪意のあるスクリプト(JavaScript)を記載したページを他ユーザが閲覧した時に、そのスクリプトが実行されてしまうというリスクはないものなのでしょうか？

はい、あります。

Comments

[tsuyo_244]

なるほど...これは結構衝撃的でした。。
ちょっと利用は控えたほうがよいのかもしれませんね。。

[kyoya0819]

逆に、これらを下手に無効化すると不便なのでしょうがないです。
「利用は控えた方が良い」というのは、理由にはよりますが、そこまで神経質になる必要はないと思います。

Answer 2

対策はいくつかあります。

1. 単に許容する

　「そういうものだ」ということで何もしないということですね。

1. JavaScriptなどは取り除く

　JavaScript等を取り除くライブラリを用いて「安全に」します。しかし、元々JavaScriptを記述したい場合には使えません
3. ユーザーごとにサブドメインを分ける
XSSはオリジン単位で影響を受けるので、ホスト名かポート番号をユーザー毎に変えれば、XSSの影響は他に波及しなくなります。ポート番号で分けるのはリソース的な負担が大きいので、ユーザー毎にサブドメインを変えることによって、影響が互いにでないようにします。この方法は広く用いられています。

Comments

[tsuyo_244]

なるほど、ホスト名やポート番号で対応するやり方もあるのですね。
勉強になりました！ありがとうございます。