¿HTML :: StripScripts sigue siendo seguro para eliminar exploits modernos?

Question

Necesito una manera en Perl para despojar cosas malas, como XSS, interjección de imágenes y las obras.

Encontré HTML :: StripScripts pero no se ha actualizado cerca de dos años, y no estoy al día con todos los nuevos exploits.

¿Es seguro?

¿Qué otros lenguajes de marcado (en Perl) usarías?

Answer 1

HTML :: StripScripts es una lista blanca, y puede usar un analizador basado en árbol y debe ser tan seguro como la lista blanca.

Answer 2

XSS es un gran tema y surgen exploits cada dos días.

Simplemente eliminar scripts no hará que su código / sitio sea seguro.

Es mejor no tratar de quitar (poner en la lista negra) ciertas cosas. Es más seguro incluir en la lista blanca html / caracteres especiales que permitirá en su sitio. es decir, <b>, <i>

Defang parece ser la última / mejor lib anti XSS para perl en cpan

Lista negra vs Lista blanca

OWASP XSS Cheat Sheet

Y sugiero jugar con CAL9000 para tener una idea de cuán extendido / complicado XSS es