はてなブログのヘルプです
はてなダイアリーのヘルプg:hatenadiary:keyword:はてなダイアリーXSS対策に移動しました。 最新の情報はヘルプで提供しています。 はてなダイアリーでは、ユーザーの皆様に自由にHTMLタグやスタイルシートを入力して頂きながら、クッキー漏洩などのクロスサイトスクリプティング=XSS脆弱性の回避のため、以下の処理を行なっています。 ヘッダ、フッタ、日記本文の表示時にHTMLを解析し、はてなダイアリー利用可能タグに定めるタグおよび属性のみを出力します。 利用可能タグに設定されていない属性は削除し、利用可能タグに設定されていないタグの場合には<script>といった文字列に変換します。 href,src,cite,background 属性で外部 URL が参照される場合、URL が適切な文字で構成されているかチェックを行ないます。 タグ内の属性値は、「<」を「<
2008年02月15日01:15 カテゴリWeb・PC・携帯の話 HTMLPurifierで禊ぎ禊がれ ブログネタ:今日の出来事 に参加中! ハマった。。 抱えている案件の中の1つに、phpのmb_ereg系の関数が 動作しないサーバで動かすサイトの構築というのがあるのよ。 で、このサイトに、いつも使ってる自作のXSS対策用ライブラリ を実装しようと思ったら、mb_eregバリバリに使ってるんで 全然動かない事が判明。 ereg系正規表現関数はバイナリセーフじゃないので、 preg系で置き換えてやらなきゃいけないんだけど、 修正箇所が膨大で、手を付けるのは危険と判断。 どうすりゃいいんだ。。。 そうだ!今こそアレを使う時だ! って事で、以前から気になっていたXSS対策用ライブラリ 「HTML Purifier」を試してみました。 ■ HTML Purifier http://htmlpur
Pg職に転職したいWebサイト制作。PHPとかMySQLとか。symfony、CakePHP、Perl勉強。 HTML Purifier デモペ-ジ インストール方法 デモページはテキストエリアにウェブページのソース(HTML,CSS,JavaScript混合のテキスト)を入力して「Submit」。デフォルトではJavaScriptだけ(<script>やonClickなど)が取り除かれる。 HTMLタグを個別に許可したい場合は、右側「HTML-> Null/Disabled」のチェックを外して、Allowedに許可タグを入力。 形式は以下のようにカンマ区切りで、[]内に許可する属性を指定。 a[href|title],p[id|class],b,i,ul,li 実際にプログラムで使う場合。 ダウンロードしたファイルをサーバにアップし、以下のコードで呼び出す。 例はアップしたフ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く