HTML5的contenteditable屬性應該是XSS安全嗎？

Question

我已經閱讀了有關的相關問題div contenteditable, XSS，但其答案並沒有強調關於XSS的contenteditable安全問題。特別是關於意外（與內部跨站腳本相比）。當然，我知道我應該清理用戶輸入服務器端。

TL.DR.：我可以肯定的是，用戶並不突出風險引入一些外部腳本（即通過從剪貼板粘貼的數據。）通過頁面元素被設置contenteditable？規範是否確保粘貼到contenteditable的任何標記在插入到DOM之前都已經過消毒處理？

我注意到，在我試驗了兩種主要的瀏覽器，鉻/ Chrome和Firefox，這似乎是不可能的意外插入活性元素到contenteditable標籤。

• 用戶複製DOM元素從一個網頁上的選擇和它們插入contenteditable元素在其他網站上：對於這樣的斯瓦特插入我會想到是例如一個例子。
• 用戶在（在Linux命令行上）echo "<b onclick='alert("XSS");'>click me</b>" | xclip -t text/html -selection "clipboard"並將其粘貼到contenteditable中。

一種有源元件將是類似的東西：

• 包含含有與內聯處理程序如onclick="alert(\"XSS\");"
• 包含JavaScript的HREF諸如HTML的標記元素一個<script>
• HTML標記的HTML標記<a href="javascript:alert(\"XSS\")"> click me </a>

現在我的問題是，看到contenteditable似乎有點安全，沒有任何正常的XSS矢量被粘貼到，如果這是由設計？

我看過一些specs/refs/whatever在那裏既沒有明確提到contenteditable應防止任何有源元件被插入到頁面的DOM，無論它會被允許。這讓我懷疑是否應該使用contenteditable功能，因爲我不想冒一些外部JavaScript被插入contenteditable的風險。回答這個問題的核心是contenteditable這個XSS安全。

更新 與此相反的contenteditable屬性相似特徵文件designMode，似乎是特異性的（見https://www.w3.org/TR/2008/WD-html5-20080610/web-browsers.html#designModeScriptBlocked）有關的javascript被停用（因此防止XSS）。

UPDATE 2 最近的參考/規格上MDN引用是https://html.spec.whatwg.org/multipage/interaction.html#contenteditable 是奇怪淡漠任何保證contenteditable提供到不經由漿料引入的惡意的JavaScript。

Answer 1

沒有標準，它的瀏覽器一定要堅持，所以每個瀏覽器都會有自己的處理用戶輸入的實現。如果有辦法，你可以確定用戶將會知道如何去做（舊版瀏覽器通常是最容易受影響的）。這要取決於你清理用戶的輸入，無論是來自打字，粘貼等（我必須爲一個項目執行此操作，因爲沒有辦法依靠它「正常工作」）。

至於將designMode，你鏈接的部分：

當腳本是在腳本被禁用腳本執行上下文中執行腳本必須什麼也不做，什麼也不返回（返回值爲空）。

因此，例如，啓用designMode將禁用由文檔中的腳本設置的任何事件處理程序屬性，事件偵聽器，超時等。

這將使它看起來的designMode讓你「安全」，但要記住，規格隨着時間的演變，所以沒有回去和測試所有不同的瀏覽器（或至少用戶都使用的），你可以從來不確定。