Vypnutí JavaScriptu pro daný element

Leo:
Je možné to pomocí PHP funkcí smazat, ale čistě pomocí HTML ne, jak sám říkáš.

Leo:
„pak ten kód obalím prvkem“

Textarea?
Nj, já vím, na prd ...

Leo:
„jenže závadnost kódu je daná plejádou KLIENTů a jejich chyb a specifik“
Co je to za divnou logiku? Prostě budeš ecsapovat/nahrazovat řídicí znaky - bohatě stačí htmlspecialchars, který zneškodní případný <script>. Jinak existují ekvivalenty i pro samotný Javascript - i když tam to má význam jen když necháš klienta definovat vnitřek nějakého stringu.

Leo:
„co treba <img src="javascript:alert('ok')"> a podobné, horší, věci.“
Dobrá, htmlspecialchars zneškodní i <img> a jakýkoliv jiný tag. A nikde jinde už javascript být nemůže.

Leo:
„Jo? A co treba <img src="javascript:alert('ok')"> a podobné, horší, věci.“
Jelikož htmlspecialchars by zaentitovalo i <img>, žádný problém.

Větší problém by byl nechat ostatní HTML a filtrovat jen XSS, pak bych asi použil pár nahrazení podle regulárních výrazů
1. Zaentitovat "<" u <script> a </script> Možná takhle: <(?=\s*/?\s*script) nahradit za: < (mělo by vzít i < script> apod.)
2. Podobně jako 1. zaentitovat všechny značky, které v názvu tagu mají něco jiného než písmena a čísla. Ještě bezpečnější by bylo zaentitovat všechno, co v názvu tagu má něco jiného než nějaký povolený seznam (seznam platných HTML tagů ve formátu pro skript určitě půjde najít).
3. U vstupů kde je nutné hlídat XSS většinou není potřeba uživatelům dovolovat nějaké neobvyklé vychytávky, takže bych definoval množinu řetězců, kterými mohou začínat atributy href a src ("http://", "/", pro href ještě "?", "#", "mailto:", plus případné předdefinované adresáře a skripty, jako "img/" apod.) a všechno ostatní smazal.
Poznámka: atribut "src" bych hledal jako (cokoliv)src, čímž by se vyřešily i věci jako <img lowsrc="xss"> apod.

Leo:

Jestli tomu dobře rozumím, ty prostě hledáš nějaký prvek, v němž bys rád na úrovni html kódu zakázal skriptování, jakýsi obalovací


Nic takového AFAIK neexistuje.

Reaguji na Lea:
Kdyby existovala nějaká „vypínací“ značka (či atribut), stejně by programátor musel ošetřit situaci, kdy by se tvůrce zákeřného kódu rozhodl ukončit ten vypínací element.

„nic takového neexistuje“
Explorer podporuje atribut security="restricted" na <iframu>. Stránka načtená dovnitř pak běží v jiné zóně, nejede v ní JS, ActiveX atd. — je to vlastně přesně to, co chceš.

„ani se v HTML5 nechystá“
Se zaváděním podobné novinky by byl docela problém — představovala by částečné bezpečnostní riziko, dokud by nevymřely starší verze prohlížečů, zatímco by specifikace naopak uklidňovala, že toto je správná cesta.

„Protože javascript ve vstupu musíte ošetřit i tam, kde uživatel zadává pseudokód, ne přímo html tagy, jako například u této diskuse.“
Povolujeme jen protokol http(s), žádný problém. Žádná kontrola není problém.

Obecně mi připadá nesmyslné plácnout jen tak do HTML zdroje (či do JS, do CSS, do adresy, do SQL dotazu…) něco, co mi posílá návštěvník. Vstup od uživatele by měl být vnímán v naprosto jiném kontextu — nejen proto, že by mohl být nebezpečný. Může být vadný i jiným způsobem a zařadit ho do důležitého místa bez patřičné kontroly je nezodpovědné. I kdyby šlo zabránit běhu skriptů, pořád může natropit paseku jeden neuzavřený <div>.


Reaguji na Jokera:
„(mělo by vzít i < script> apod.)“
S mezerou to už není HTML značka. Stačí rušit „<script“ (při čemž nezáleží na velikosti písmen).

„Podobně jako 1. zaentitovat všechny značky, které v názvu tagu mají něco jiného než písmena a čísla.“
Tím „názvem tagu“ myslíš asi celou počáteční značku, ne? Protože název ani nemůže obsahovat nic jiného než písmena a čísla.

Zajímavá finta také je, když se nahradí „ on“ za „ o&#110;“ — názvy atributů událostí to efektivně rozbije, ale viditelný obsah se nenaruší :-)
Ale rozumnější je skutečně mít ten seznam dovolených elementů/atributů.