MS 안티 xss 라이브러리 (v4)가 html 5 데이터 속성을 제거하는 이유

Question

AntiXss 라이브러리는 html 5 데이터 속성을 제거하는 것처럼 보입니다. 이유는 무엇입니까?

나는이 입력 유지하기 위해 필요

:

<label class='ui-templatefield' data-field-name='P_Address3' data-field-type='special' contenteditable='false'>[P_Address3]</label> 

안티 XSS 라이브러리 (버전 4.0)를 사용하는 주된 이유는 구문 분석되지 않습니다 알 수없는 스타일 속성을 보장하는 것입니다,이 가능하다조차를?

코드 :

var result = Sanitizer.GetSafeHtml(html); 

편집 :이

아래의 입력이 전체 스타일 속성 초래 제거

입력 :

var input = "<p style=\"width:50px;height:10px;alert('evilman')\"/> Not sure why is is null for some wierd reason!<br><p></p>"; 

출력 :

var input = "<p style=\"\"/> Not sure why is is null for some wierd reason!<br><p></p>"; 

클라이언트 측에서 코드를 뒤죽박죽으로 처리하는 것이 좋지만 작동하려면 데이터 속성 태그가 필요합니다.

Answer 1

나는 인코더가 아니라 살균제라고 가정합니다. HTML5를 이해하지 못하거나 속성을 인식하지 못하기 때문에 HTML5가 제거됩니다. 스타일을 통해 XSS하는 방법이 있습니다.

안전 목록을 사용자 정의 할 수 없으므로 코드 기반이이를 허용하지 않습니다. 많은 사람들이이를 원하지 만이를 지원하기 위해 완전한 재 작성이 필요합니다.