我的网站需要安全的 html。
我通读了 caja 指南，但我不确定我是否理解其中的概念。
https://developers.google.com/caja/docs/gettingstarted/
我觉得是这样的:
- 用户向我的数据库提交恶意内容
- 我想渲染它。 Caja 识别恶意代码并将其阻止。
但是我如何通过 caja 渲染它？他们没有在他们的页面上解释这一点，他们只展示如何替换代码。
<script type="text/javascript">
document.getElementById('dynamicContent').innerHTML = 'Dynamic hello world';
</script>
假设我们的文档看起来像这样
<body>
<div class="input">
<h3>User Input </h3>
<script> alert("I am really bad!"); </script>
</div>
<div class="input">
<h3>User Input </h3>
<p> I am safe HTML!</p>
</div>
</body>
我如何告诉 caja 阻止脚本标签？
最佳答案
如果你只想清理 html(即根本不执行脚本)，你不需要所有的 Caja，只需要 html-sanitizer。
使用:
<script src="http://caja.appspot.com/html-css-sanitizer-minified.js"></script>
<script>
var sanitized = html_sanitize(untrustedCode,
/* optional */ function(url) { return url /* rewrite urls if needed */ },
/* optional */ function(id) { return id; /* rewrite ids, names and classes if needed */ })
</script>
如果您不想允许经过净化的 css 样式，请使用 http://caja.appspot.com/html-sanitizer-minified.js相反。
关于javascript - Google caja - 阻止恶意代码，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/12253686/