Qualcuno sa di un modo per impedire a JS di girare all'interno di un SVG o di estrarre JS da un SVG? Nel mio caso d'uso preferirei mantenere l'immagine come SVG e non convertirla in JPG. Ho pensato di rimuovere i tag script e gli attributi on, ma preferirei evitare un approccio blacklist. In alternativa, ho cercato di fare un approccio whitelist di tutti gli attributi e tag, ma la lista è enorme. Qualche idea su come affrontare questo?
Does anyone know of a way to prevent JS from running inside of an SVG
Se si incorpora un SVG come immagine, è garantito che non venga eseguito alcun JS contenuto:
<img src="https://example.com/dangerous.svg">ComeeffettocollateraleciòimpedisceancheaSVGdicaricarerisorseesterne.(Vedianche:
Se ti senti di fantasia, una sandbox iframe impedisce anche l'esecuzione di qualsiasi codice di script:
<iframe sandbox src="https://example.com/dangerous.svg"></iframe>NotachesestaiospitandoSVGfornitidagliutenti,assicuratichegliutentinonpossanovisualizzarlidirettamentenelbrowser(digitandohttps://yoursite.example/user-images/dangerous.svgnell'URL)poichéciòinnescherebbecomunquel'XSS.Invecedeviservirefilenonfidaticomeallegati.(Vedianche:
Utilizza una libreria / uno strumento software esistente che può analizzare e convertire SVG e che ti consente di rimuovere gli script. Una regola importante per la sicurezza è evitare di reinventare la ruota se si riesce ad evitarlo.
Quale libreria utilizzare non rientra nell'ambito di questo sito, ma potresti provare a cercare (e possibilmente a chiedere) su link , o su link , in particolare con il tag svg .
Come al solito, leggi e segui le linee guida sulle domande di un sito (ad esempio Cosa è necessario per una domanda per contenere "informazioni sufficienti" ) prima di chiedere.