DOM Sanitization is het proces van het opschonen en valideren van HTML-content voordat het wordt ingevoegd in het Document Object Model, wat helpt XSS-aanvallen en andere injectiekwetsbaarheden te voorkomen. Moderne browsers bieden ingebouwde sanitizer-API's, terwijl verschillende bibliotheken sanitisatiefuncties aanbieden. Juiste sanitisatie is cruciaal bij het omgaan met door gebruikers gegenereerde content of third-party gegevens die als HTML moeten worden gerenderd.
DOM-sanitization is het proces van het opschonen van niet-vertrouwde HTML zodat die in een pagina kan worden ingevoegd zonder uitvoerbare of gevaarlijke markup mee te dragen. Wanneer code een string toewijst aan innerHTML, outerHTML of een vergelijkbare DOM-sink, parseert de browser die tot levende nodes, inclusief elke scripttag, onerror-handler, javascript:-URL of andere actieve content die erin zit. Een sanitizer parseert die HTML, doorloopt de resulterende boom en verwijdert of herschrijft alles wat niet op een allowlist van veilige tags en attributen staat, waarna markup overblijft die weergeeft zoals bedoeld maar geen code kan uitvoeren. Bibliotheken zoals DOMPurify doen dit robuust, en browsers leveren inmiddels een native Sanitizer API en de veiligere setHTML-methode voor hetzelfde doel.
Sanitization is een primaire verdediging tegen DOM-based en stored XSS. Elke functie die door gebruikers gegenereerde of third-party content als HTML weergeeft, reacties, rich-text-velden, chatberichten of CMS-blokken, is een potentieel injectiepunt, en simpel escapen is niet genoeg wanneer de content werkelijk als HTML bedoeld is. Naïeve benaderingen, zoals het blacklisten van de scripttag of het gebruik van een regex om elementen te strippen, missen de enorme ruimte aan parser-trucs: mutation-XSS, misvormde markup die browsers repareren tot uitvoerbare vorm, SVG- en MathML-eigenaardigheden met foreign content, en event-handler-attributen. Een gedegen geteste sanitizer die op de geparseerde boom werkt in plaats van op ruwe tekst dicht deze gaten en verandert een kwetsbaarheid met hoge ernst in inerte uitvoer.
Geef de voorkeur aan veilige sinks zoals textContent of framework-binding, en grijp alleen naar HTML-invoeging wanneer het echt moet; sanitize dan met een onderhouden bibliotheek zoals DOMPurify of de native Sanitizer API in plaats van zelfgebouwde filters, en houd die bijgewerkt naarmate nieuwe bypasses worden gevonden. Combineer het met een strikte Content Security Policy zodat een gemiste payload alsnog niet kan worden uitgevoerd. Sanitization leeft in je eigen code, dus het dekt niet wat een gecompromitteerd third-party script doet nadat het is geladen, aangezien dat script zelf innerHTML kan aanroepen. cside pakt dat gat aan door third-party scripts via een Script-methode te routeren en de payload te analyseren, waarbij het onveilige DOM-writes die deze scripts proberen detecteert en blokkeert en ze vastlegt voor forensisch onderzoek.
Nee. Escapen zet tekens zoals de punthaken om in HTML-entiteiten zodat tekst letterlijk wordt weergegeven, wat correct is wanneer je markup als platte tekst wilt tonen. Sanitization houdt de content als echte HTML maar verwijdert de gevaarlijke delen. Gebruik escapen voor tekstuitvoer en sanitization alleen wanneer content van gebruikers als daadwerkelijke markup moet worden weergegeven.
Vrijwel nooit. HTML-parsing in browsers kent talloze randgevallen, foreign content, mutatie-eigenaardigheden en herstel van misvormde markup, die zelfgeschreven filters en regexes missen, wat tot bypasses leidt. Gebruik een onderhouden, breed geteste bibliotheek zoals DOMPurify of de ingebouwde Sanitizer API, en houd die bijgewerkt naarmate onderzoekers nieuwe ontwijkingstechnieken ontdekken.
We answer client-side security questions every day. Bring yours.