Entwicklertools · HTML-Entity-Escaper
Die fünf Zeichen, die Sie in HTML maskieren müssen, und warum jedes einzelne gefährlich ist
· Wie es funktioniert
html Kodierung Sicherheit
Das HTML-Escape besteht aus fünf Zeichen: & < > " und '. In diesem Beitrag wird erklärt, welche Rolle jedes einzelne Zeichen im Markup spielt, warum die Liste kontextabhängig ist und wie die Entität für jedes Zeichen ausgewählt wird.
Der Kommentar, der ein Tag vorzeitig geschlossen hat – ein verirrtes < und >, das den Text eines Benutzers in Markup umgewandelt hat
Der Kommentar, der ein Tag vorzeitig geschlossen hat – ein verirrtes < und >, das den Text eines Benutzers in Markup umgewandelt hat. Die Implementierung ordnet immer kaufmännisches Und, Kleiner als, Größer als, Anführungszeichen und Apostroph zu. Das Apostroph wird zur dezimalen Referenznummer 39, während die anderen vier bekannte Namensformen verwenden.
Um HTML-Escape-Zeichen zu überprüfen, erstellen Sie den Kommentar, der für einen Entwickler geschlossen wurde, der vom Benutzer übermittelten Text in eine Seite rendert. Bewahren Sie ein Tag frühzeitig auf, während die Fünf-Zeichen-Richtlinie zu Streunern führt, und das hat sich geändert; Identifizieren Sie, wo der Text eines Benutzers konsumiert wird. Die Beobachtung über into markup betrifft nur HTML-Text.
& zuerst immer – warum das Escape-Zeichen selbst maskiert werden muss und was passiert, wenn Sie es überspringen
& zuerst immer – warum das Escape-Zeichen selbst maskiert werden muss und was passiert, wenn Sie es überspringen. Eine einzelne Codepunktschleife verhindert Fehler bei der Ersetzungsreihenfolge: Ein durch eine frühere Ersetzung eingeführtes kaufmännisches Und-Zeichen wird nie wieder aufgerufen, sodass der Encoder im selben Durchgang seine eigene Ausgabe nicht maskiert.
Ein Entwickler, der vom Benutzer übermittelten Text in eine Seite rendert, kann immer zuerst testen, warum das Escape-Zeichen selbst aufgezeichnet werden muss, bevor die Fünf-Zeichen-Richtlinie erfüllt werden muss. Vergleichen Sie „escaped“ und „was danach“ und suchen Sie den Parser, der dafür verantwortlich ist, was passiert, wenn Sie überspringen. Dieses HTML-Escape-Zeichen-Ergebnis erklärt es, nicht ausführbare Kontexte.
< und > im Textinhalt – wie der Tokenizer entscheidet, dass ein Tag gestartet wurde und warum > hauptsächlich aus Symmetriegründen maskiert wird
< und > im Textinhalt – wie der Tokenizer entscheidet, dass ein Tag gestartet wurde und warum > hauptsächlich aus Symmetriegründen maskiert wird. „Less-than“ startet Markup im HTML-Text. „Größer als“ wird konsistent codiert, obwohl seine Gefahr vom Parser-Status abhängt, wodurch die Ausgabe vorhersehbar wird, wenn Snippets zwischen Text und zitierten Attributen wechseln.
Isolieren Sie Textinhalte in einem kurzen Richtlinienbeispiel mit fünf Zeichen. Zeigen Sie, wie der Tokenizer als Literalquelle entscheidet, folgt einem gestarteten Tag zu seinem Ziel und benenne die API-Lesung und warum sie maskiert wird. Für HTML-Escape-Zeichen, hauptsächlich aus Symmetriegründen, bleibt der parsergebundene Beweis bestehen.
Anführungszeichen in Attributwerten – „ und ‚ und warum das von Ihnen verwendete Attributtrennzeichen darüber entscheidet, welches kritisch ist
Anführungszeichen in Attributwerten – " und ' und warum das von Ihnen verwendete Attributtrennzeichen darüber entscheidet, welches kritisch ist. Beide Anführungszeichen werden codiert, unabhängig davon, welches Trennzeichen ein Attribut umgibt. Das ist konservativ für HTML-Attribute in Anführungszeichen, validiert jedoch nicht Attributnamen, Schemata oder Downstream-Sprachen.
Behandeln Sie Anführungszeichen in Attributwerten als Grenzexperiment. Ein Entwickler, der vom Benutzer übermittelten Text in eine Seite umwandelt, sollte behalten und warum, einen fünfstelligen Richtlinienvorgang durchführen und das von Ihnen verwendete Attributtrennzeichen Zeichen für Zeichen überprüfen, bevor er entscheidet, welches Trennzeichen es ist. Die Behauptung über kritische Werte hört auf dieser HTML-Ebene auf.
Arbeitsbeispiel: Escape eines Snippets, das alle fünf enthält – die erzeugten Entitäten und das gerenderte Ergebnis
Arbeitsbeispiel: Escape eines Snippets, das alle fünf enthält – die erzeugten Entitäten und das gerenderte Ergebnis. Für die Eingabe des Apostrophs & < > " gibt jeder Modus & < > " ' zurück. Gewöhnliche Leerzeichen bleiben Leerzeichen und die fünf Ersetzungen erscheinen in der ursprünglichen Reihenfolge.
Reproduzieren Sie das Beispiel für die Flucht mit harmlosen Eingaben anstelle von Kundenmaterial. Zeichnen Sie ein Snippet auf, das alle fünf Zeichen enthält, beobachten Sie die erzeugten Entitäten und zählen Sie jeden absichtlichen fünfstelligen Richtliniendurchlauf. Mit diesem HTML-Escape-Zeichen-Trail kann ein Entwickler, der vom Benutzer übermittelten Text auf einer Seite rendert, das gerenderte Ergebnis und den aus fünf Zeichen bestehenden Richtliniennachweis auswerten, ohne zu raten.
Benannte versus numerische Formen – „ versus “ und „ versus “, die in älteren Parsern sicher sind
Benannte versus numerische Formen – „ versus “ und „ versus “, die in älteren Parsern sicher sind. Der Decoder akzeptiert sowohl „ als auch numerisch“ sowie „ und „. Der Encoder gibt bewusst „ statt „ aus, entsprechend seiner dokumentierten Portabilitätsauswahl.
Ortsnamen im Vergleich zu numerischen Formen, quot im Vergleich zu 34 und, und 39 im Vergleich zu apos und nebeneinander während der fünfstelligen Richtlinienüberprüfung. Ein Entwickler, der vom Benutzer übermittelte Texte in eine Seite einfügt, kann dann entscheiden, ob diese bei der Konvertierung oder im Nachhinein sicher geändert werden. Halten Sie die Schlussfolgerung zu HTML-Escape-Zeichen über ältere Parser aus allgemeinen Sicherheitsansprüchen heraus.
Was dies nicht abdeckt – Escape innerhalb von <script>, Event-Handlern oder URLs, die andere Regeln erfordern
Was dies nicht abdeckt – Escape innerhalb von <script>, Ereignishandlern oder URLs, die andere Regeln erfordern. Diese fünf Ersetzungen beschreiben nur HTML-Text und das Escapen von Anführungszeichenattributen. JavaScript-, CSS-, SQL- und URL-Komponenten verfügen über unabhängige Grammatiken und keine Entitätsausgabe ist eine allgemeine Bereinigung.
Definieren Sie, was dies nicht bedeutet, bevor Sie die Fünf-Zeichen-Richtlinie ausführen. Speichern Sie das Cover-Escape im Skript als Steuerelement, überprüfen Sie die Codepunkte hinter Ereignishandlern oder URLs und ordnen Sie dem nächsten Interpreter zu, welche andere Regeln benötigen. Dadurch werden Richtliniennachweise mit fünf Zeichen für einen Entwickler überprüfbar, der vom Benutzer übermittelten Text in eine Seite umwandelt und dabei HTML-Escape-Zeichen untersucht.
Imbiss: fünf Zeichen für HTML-Text und zitierte Attribute, nicht jeder Parser-Kontext
Fazit: Fünf Zeichen für HTML-Text und zitierte Attribute, nicht jeder Parser-Kontext. Verwenden Sie das Tool, um die genaue Fünf-Zeichen-Transformation zu überprüfen, und platzieren Sie das Ergebnis dann nur in einem HTML-Kontext, dessen Regeln Sie verstehen. „Überall einfügen“ wird bewusst nicht versprochen.
Verbinden Sie fünf Zeichen mit einer beobachtbaren Richtlinienausgabe mit fünf Zeichen. Behalten Sie HTML-Text und Anführungszeichen neben dem One-Pass-Ergebnis bei und überprüfen Sie dann, wo Attribute nicht für jeden Parser in den Kontext gelangen. Ein Entwickler, der vom Benutzer übermittelten Text auf einer Seite rendert, kann jetzt Richtlinienbeweise mit fünf Zeichen als schmale HTML-Escape-Zeichen-Ergebnis überprüfen. Die praktische Entscheidung hinter diesem Artikel ist spezifisch: HTML-Escape beschränkt sich auf fünf Zeichen: & < > " und '. In diesem Beitrag wird erklärt, welche Rolle die einzelnen Elemente beim Markup spielen, warum die Liste kontextabhängig ist und wie die Entität für jede ausgewählt wird. Die Aktion des Lesers ist ebenso konkret: Verlinkt zum HTML-Entity-Escaper und demonstriert das Escapen eines Snippets, das Markup-Zeichen enthält, und verweist den Leser auf den Abschnitt „Unterstützte Eingabe und Ausgabe“ der Tool-Seite für den genauen Zeichensatz, den es maskiert.