HTML :: StripScripts все еще безопасен для удаления современных эксплойтов?

Question

Мне нужен способ в Perl, чтобы убрать такие непослушные вещи, как XSS, вставка изображений и все работы.

Я нашел HTML :: StripScripts , но он не обновлялся в течение ближайших двух лет, и я не в курсе всех новых эксплойтов.

Это безопасно?

Какие еще языки разметки (в Perl) вы бы использовали?

Answer 1

XSS - обширная тема, и эксплойты появляются каждый день.

Простое удаление скриптов не сделает ваш код / ​​сайт безопасным.

Лучше не пытаться лишить (занесения в черный список) определенные вещи. Безопаснее белый список html / спецсимволов, которые вы разрешите на своем сайте. т.е. <b>, <i>

Defang , похоже, является последней / лучшей анти-XSS-библиотекой для perl на cpan

Черный список против белого списка

Шпаргалка OWASP XSS

И я предлагаю поиграть с CAL9000 , чтобы понять, насколько распространенным / хитрым является XSS

Answer 2

HTML :: StripScripts является белым списком, может использовать синтаксический анализатор на основе дерева и должен быть таким же безопасным, как белый список.