ブラウザ上ã§Markdownを安全ã«å±•é–‹ã™ã‚‹ - 葉ã£ã±æ—¥è¨˜ä¸ç‰¹å®šã®ãƒ¦ãƒ¼ã‚¶ãƒ¼ãŒå…¥åŠ›ã—ãŸMarkdownをブラウザ上ã§JavaScriptを使ã£ã¦HTMLã«å¤‰æ›ã™ã‚‹ã¨ã„ã†å ´é¢ã«ãŠã„ã¦ã¯ã€JavaScriptã§å¤‰æ›ã—ã¦HTMLを生æˆã™ã‚‹ã¨ã„ã†å‡¦ç†ã®éƒ½åˆä¸Šã©ã†ã—ã¦ã‚‚DOM-based XSSã®ç™ºç”Ÿã‚’考ãˆãªã„ã‚ã‘ã«ã¯ã„ã‹ãªã„。ã‹ã¨ã„ã£ã¦ã€Markdownをパースã—HTMLを生æˆã™ã‚‹ã¨ã„ã†å‡¦ç†ã™ã¹ã¦ã‚’XSSãŒå˜åœ¨ã—ãªã„よã†ã«æ³¨æ„ã—ãªãŒã‚‰è‡ªåˆ†ã§æ›¸ãã®ã‚‚大変ã ã—ã€markedã‚„markdown-jsãªã©ã®æ—¢å˜ã®å¤‰æ›ç”¨ã®JSã‚’æŒã£ã¦ãã¦ã‚‚ãれらãŒXSSã—ãªã„ã‹ã‚’確èªã™ã‚‹ã®ã¯çµæ§‹å¤§å¤‰ã ã£ãŸã‚Šã™ã‚‹ã€‚ ãã†ã„ã£ãŸå ´åˆã«ã¯ã€Markdownã‹ã‚‰ç”Ÿæˆã•ã‚ŒãŸHTMLã‚’RickDOMを通ã™ã“ã¨ã§ã€ä¸‡ãŒä¸€HTML内ã«JavaScriptãŒå«ã¾ã‚Œã¦ã„ãŸã¨ã—ã¦ã‚‚ãれらを除外ã—ã€è¨±å¯ã•ã‚ŒãŸè¦ç´ ã€è¨±å¯ã•ã‚ŒãŸå±žæ€§ã ã‘ã§æ§‹ç¯‰ã•ã‚ŒãŸå®‰å…¨ãªHTMLã«å†æ§‹ç¯‰ã™ã‚‹ã“ã¨ãŒã§ãる。ã•ã‚‰ã«ã€ãã†ã‚„ã£ã¦ç”Ÿæˆ
PHPã§CSP（Content Security Policy）を導入ã—ã¦XSS対ç–を強化ã—ã¦ã¿ã‚ˆã† — A Day in Serenity (Reloaded) — PHP, CodeIgniter, FuelPHP, Linux or something
よãã‚ã‹ã‚‹PHPã®æ•™ç§‘書 PHP5.5対応版ã®ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング
{{#tags}}- {{label}}
{{/tags}}