Предотвращение XSS в Node.js / javascript на стороне сервера

Один из ответов на вопрос Очистить / перезаписать HTML на стороне клиента предлагает заимствование средства очистки HTML на основе белого списка в JS от Google Caja, который, насколько я могу судить по быстрой прокрутке, реализует синтаксический анализатор HTML SAX, не полагаясь на DOM браузера.

Обновление. Кроме того, имейте в виду, что дезинфицирующее средство Caja, по-видимому, прошло полную профессиональную проверку безопасности, в то время как регулярные выражения известны тем, что их очень легко вводить опечатками, нарушая безопасность.

Обновление от 24 сентября 2017 г .: теперь есть DOMPurify. Я еще не использовал его, но похоже, что он соответствует или превосходит все пункты, которые я ищу:

• По возможности полагается на функциональность, предоставляемую средой выполнения. (Важно как для производительности, так и для максимальной безопасности за счет максимально возможного использования хорошо протестированных и зрелых реализаций.)

  • Relies on either a browser's DOM or jsdom for Node.JS.

• Конфигурация по умолчанию, предназначенная для минимального удаления, при этом гарантируя удаление javascript.

  • Supports HTML, MathML, and SVG
  • Возвращается к проприетарному, не настраиваемому toStaticHTML от Microsoft в IE8 и IE9.

• Широкие возможности настройки, что делает его подходящим для применения ограничений для ввода, который может содержать произвольный HTML-код, например поле комментария WYSIWYG или Markdown. (Фактически, здесь это верхушка кучи)

  • Supports the usual tag/attribute whitelisting/blacklisting and URL regex whitelisting
  • Имеет специальные параметры для дальнейшей очистки некоторых распространенных типов метасимволов HTML-шаблонов.

• Они серьезно относятся к совместимости и надежности

  • Automated tests running on 16 different browsers as well as three diffferent major versions of Node.JS.
  • Чтобы гарантировать, что разработчики и хосты CI находятся на одной странице, публикуются файлы блокировки.

Я создал модуль, который объединяет Caja HTML Sanitizer.

npm install sanitizer

http://github.com/theSmaw/Caja-HTML-Sanitizer

https://www.npmjs.com/package/sanitizer

Любая обратная связь приветствуется.

Все обычные методы применимы и к выводу node.js, что означает:

• Черные списки работать не будут.
• Вы не должны фильтровать ввод, чтобы защитить вывод HTML. Он не будет работать или будет работать из-за ненужного искажения данных.
• Вы должны использовать HTML-экранирование текста при выводе HTML.

Я не уверен, что в node.js есть что-то встроенное для этого, но что-то вроде этого должно сработать:

function htmlEscape(text) {
   return text.replace(/&/g, '&').
     replace(/</g, '&lt;').  // it's not neccessary to escape >
     replace(/"/g, '&quot;').
     replace(/'/g, '&#039;');
}

Недавно я обнаружил узел-валидатор от chriso.

Пример

get('/', function (req, res) {

  //Sanitize user input
  req.sanitize('textarea').xss(); // No longer supported
  req.sanitize('foo').toBoolean();

});

Функция XSS устарела

Функция XSS больше не доступна в этой библиотеке.

https://github.com/chriso/validator.js#deprecations

Вы также можете посмотреть ESAPI. Существует версия библиотеки для javascript. Он довольно крепкий.

В более новых версиях модуля validator вы можете использовать следующий скрипт для предотвращения XSS-атаки:

  var validator = require('validator');

  var escaped_string = validator.escape(someString);

Попробуйте модуль npm strip-js. Он выполняет следующие действия:

• Дезинфицирует HTML
• Удаляет теги скрипта
• Удаляет такие атрибуты, как «onclick», «onerror» и т. Д., Которые содержат код JavaScript.
• Удаляет атрибуты href, содержащие код JavaScript.

https://www.npmjs.com/package/strip-js

Вам стоит попробовать библиотеку npm "insane". https://github.com/bevacqua/insane

Пробую в продакшене, работает хорошо. Размер очень маленький (около 3 КБ в сжатом виде).

• Очистить HTML
• Удалите все атрибуты или теги, которые оценивают js
• Вы можете разрешить атрибуты или теги, которые вы не хотите дезинфицировать

Документацию очень легко читать и понимать. https://github.com/bevacqua/insane

Обновление 2021-04-16: xss - это модуль, используемый для фильтрации ввода от пользователей для предотвращения XSS-атак.

Очистите ненадежный HTML (для предотвращения XSS) с конфигурацией, указанной в белом списке.

Посетите https://www.npmjs.com/package/xss
домашнюю страницу проекта. : http://jsxss.com