正規表現 否定を利用してhttpやhttps以外からはじまるsrcやhref属性を置換したい

Question

正規表現の理解が浅く申し訳ないのですが、srcやhref属性の値としてjavascript:などが埋め込まれないようにhttpやhttpsからはじまる値を、例えば"#"置換したいと考えております。

var sample1 = <a href="http://example...."></a>　//変換されない
var sample1 = <a href="https://example...."></a>　//変換されない
var sample1 = <a href=" https://example...."></a>　//href="#"に変換される
var sample1 = <a href="javascript:...."></a>　// href="#"に変換される

そこで、正規表現で否定形を調べている中で否定先読があることをしりました。(?!と)でくくるということでがわかりました。
これを前提に以下のように処理を記載した所、適切に動作させることができませんでした。

var str = '<a href="javascript:***" target="_blank">リンク先</a>';
str.replace(/href="(?!(http|https))"/, "#")
console.log(str) 
//"&lt;a href=\&quot;javascript:***\&quot; target=\&quot;_blank\&quot;&gt;リンク先&lt;/a&gt;"
//期待する結果↓
//"&lt;a href=\&quot;#\&quot; target=\&quot;_blank\&quot;&gt;

正規表現上の否定の書き方,グループ化の書き方、パイプの書き方など、まだ不安な点が多く申し訳ございませんが、問題点についてご指摘いただければ幸いです。

【追記】
正規表現の論点なので、Javascriptで記載しておりますが、実際にはサーバーサイドにおいても同様に検査をする予定ですので、その点はご放念願います。

Comments

[yambejp]

サイト内リンク：src="/hoge.html"
ページ内リンク：src="#hogehoge"
パラメータリンク：src="?hoge=123"
はどうするのですか？

[SugiuraY]

ありがとうございます。
上記の例は全て拒否されます。

[yambejp]

src="http.html"とかされたらどうするのでしょうか？
「http(s)://」まで調整するのでしょうか？

[SugiuraY]

本件は申し訳ございません。http.htmlから始まるもので意図しない不正な埋め込みがあり得るという認識がございませんでした。しかしながら、URLに縛りたいのであれば、http(s)://まで含める事が妥当に思えます。

[SugiuraY]

URLにはアスキー形式以外にも様々存在するとは調べたのですが、http(s)://以外は受け付けないで良いと思っています。ただ、maisumakun様から指摘頂いた、引用符は完全に想定外であったため、単純に正規表現での対応を再考しております。

Answer 1

正規表現の理解が浅く申し訳ないのですが、srcやhref属性の値としてjavascript:などが埋め込まれないようにhttpやhttpsからはじまる値を、例えば"#"置換したいと考えております。

正規表現では煩雑かつ見落としが生じる（たとえば、<a href=javascript:alert()>foo</a>と引用符のない形もHTMLとして正当です）恐れがありますので、DOMとして処理することをおすすめします。

Comments

[maisumakun]

<a class="hoge" href = 'javascript:'>のように、<aの直後にhrefが来るとは限りませんが、この「<aの中にあるhref」に正しくマッチさせるだけでも、膨大な量の正規表現が必要となります。

[SugiuraY]

maisumakunさん
ありがとうございます。引用符なしても実行されてしまうことをしりませんでした。大変勉強になりました、ありがとうございます。
ところで、DOMで処理する場合でも最終的にattributeの中身をチェックする際に正規表現を使用せざる得ないと考えたのですが、誤解がありますでしょうか？

[maisumakun]

> ところで、DOMで処理する場合でも最終的にattributeの中身をチェックする際に正規表現を使用せざる得ないと考えたのですが、誤解がありますでしょうか？

必ずしもそうとは限りません。たとえば、「最初4文字がhttpか」のチェックで片付けるなら、正規表現なしで済ませることも可能です。

[maisumakun]

（本題ではないかもしれませんが、「href="/"」のような相対参照も消すべきものなのでしょうか？）

[SugiuraY]

有難うございます。
はい、相対参照も意図に含まれないものとして、拒否される予定です。

[SugiuraY]

一旦DOMで処理することを検討してみようと思うのでCloseさせていただきます。
コメントを頂きましたことを御礼申し上げます。