کتابخانه
DOMPurify یه کتابخانه جاوااسکریپت برای پاکسازی HTML، MathML و SVG از کدهای XSS هست. هر جا قراره محتوایی رو که کاربر یا یه منبع بیرونی نوشته توی صفحه نشون بدی، با DOMPurify تمیزش می کنی تا اسکریپت و ویژگی های خطرناک بیرون بمونن. هم توی مرورگر کار می کنه، هم توی Node.js با jsdom.
نسخه رسمی و بدون تغییر، از منبع رسمی با مجوز (MPL-2.0 OR Apache-2.0)؛ هش هر فایل با منبع بررسی شده است.
۸۴۷ کیلوبایت· ۷ فایل· انتشار
SHA-256: cd37898f9782adf54820c413191b5691803f0f137c799d6edcfd38523b4c2c31
فرض کن سایتت بخش دیدگاه داره، یا یه سیستم تیکت که کاربرها توش متن فرمت دار می فرستن. اگه اون متن رو همون طور که اومده با innerHTML توی صفحه بذاری، کافیه یه نفر یه تگ تصویر با رویداد onerror بفرسته تا اسکریپتش توی مرورگر بقیه اجرا بشه. اسمش XSS هست و هنوز یکی از رایج ترین راه های نفوذ به سایت هاست. DOMPurify دقیقا برای همین جلوی کار رو می گیره.
کارش اینه که رشته HTML رو می گیره، توی یه DOM امن پارسش می کنه و هر چیز خطرناکی رو بیرون می ریزه: تگ script، ویژگی های رویدادی مثل onclick و onerror و آدرس های javascript:. بقیه محتوا، یعنی پاراگراف، لینک، جدول، تصویر و حتی SVG و MathML سالم، دست نخورده می مونه. به همین خاطر بهش می گن «tolerant»، یعنی ظاهر محتوای عادی رو خراب نمی کنه. سازنده اش Mario Heiderich و تیم Cure53 هستن که کارشون امنیت وبه.
کجا به کارت میاد؟ هر جایی که یه رشته HTML از یه منبع غیرقابل اعتماد داری: خروجی ویرایشگرهای متنی، دیدگاه ها، پیام های چت، محتوایی که از API می گیری و توی صفحه نشون می دی، یا پیش نمایش ایمیل و قالب. توی Node.js هم با jsdom کار می کنه، پس می شه پاکسازی رو سمت سرور یا توی تست ها هم انجام داد. ولی جای همه چیز رو نمی گیره. اگه فقط می خوای یه متن ساده نشون بدی، textContent یا escape معمولی ساده تره و اصلا لازم نیست HTML رو باز کنی. ولیدیشن سمت سرور هم سر جاش لازمه، چون DOMPurify فقط یه لایه دفاعیه، نه تنها لایه.
چند نکته موقع استفاده. پاکسازی رو درست قبل از قرار دادن توی DOM انجام بده، نه خیلی زودتر، و بعدش رشته رو دستکاری نکن، چون ممکنه امن بودنش از بین بره. تنظیم هایی مثل ALLOWED_TAGS و ALLOWED_ATTR اجازه می دن لیست مجاز رو تنگ تر کنی، ولی هر چی بازترش کنی ریسک بیشتر می شه. پس با پیش فرض ها شروع کن. این کتابخانه مرتب از نظر امنیتی بررسی می شه و گاهی راه های دور زدنش پیدا و رفع شده، برای همین بهتره نسخه رو به روز نگه داری. نسخه های رسمی و بدون تغییر DOMPurify توی مخزن داخلی ما هم در دسترسه و وقتی دسترسی به npm و CDN های خارجی قطع یا کند می شه، می تونی از همین جا برش داری.
قدم های کلی اینه:
بعد از اتصال، یه رشته تست با تگ script و یه تصویر با onerror بده و مطمئن شو خروجی تمیز برمی گرده. این تست چند ثانیه بیشتر وقت نمی بره و جلوی کلی دردسر رو می گیره.
یه کتابخانه جاوااسکریپت برای پاکسازی HTML، SVG و MathML از کدهای مخرب XSS هست. وقتی محتوایی از کاربر یا منبع بیرونی داری و می خوای با HTML توی صفحه نشونش بدی، DOMPurify اسکریپت ها و ویژگی های خطرناک رو حذف می کنه و بقیه محتوای سالم رو سر جاش نگه می داره.
نه. DOMPurify یه لایه دفاعی موقع نمایش و پردازش HTML هست، ولی ورودی کاربر باید سمت سرور هم بررسی و فیلتر بشه. هر دو لایه رو داشته باش. اگه فقط متن ساده نشون می دی، escape معمولی یا textContent کافیه و نیازی به باز کردن HTML نیست.
آره، با jsdom کار می کنه. DOMPurify به یه DOM نیاز داره و Node.js خودش نداره، پس اول با jsdom یه window می سازی و DOMPurify رو باهاش راه می ندازی. این روش برای پاکسازی سمت سرور، رندر قالب و نوشتن تست هم به کار میاد.
وردپرس سمت سرور توابع پاکسازی خودش رو داره، مثل wp_kses. ولی وقتی افزونه یا قالبت HTML رو توی مرورگر با جاوااسکریپت می سازه، مثلا از یه API یا یه فرم زنده، اون توابع وارد کار نمی شن. اونجا یه پاک کننده سمت مرورگر مثل DOMPurify به کارت میاد.
آره. با گزینه هایی مثل ALLOWED_TAGS و ALLOWED_ATTR لیست مجاز رو خودت تعیین می کنی و با گزینه های FORBID هم می شه چیزهای مشخصی رو ممنوع کرد. بهتره با تنظیم پیش فرض شروع کنی و فقط وقتی واقعا لازم شد لیست رو تغییر بدی.
نام کتابخانه، افزونه یا قالب را بفرستید؛ پس از بررسی، نسخه‌های رسمی آن به مخزن اضافه می‌شود.