Y a-t-il un moyen de prison en JavaScript, de sorte que le DOM n'est pas visible

( edit Cette réponse concerne votre question de pré-édition. Je ne connais aucune langue de script implémentée à l'aide de JavaScript, bien que je m'attends, il y en ait. Par exemple, quelqu'un a écrit de base Pour JavaScript (utilisé pour avoir un lien, mais il est pourri). Le reste de cette réponse est donc assez académique, mais je l'ai laissé juste pour la discussion, l'illustration et même les fins de la mise en garde. En outre, je suis certainement d'accord avec Les points de Bobince < / a> - Ne faites pas cela vous-même, utilisez le travail des autres, tels que CAJA .)

Si vous autorisez tout script dans le contenu généré par l'utilisateur, soyez prêt pour le fait que vous entrez dans une course d'armes de personnes qui trouvent des trous de vos mécanismes de protection et de les exploiter, et vous répondez à ceux qui répondent à ces exploits. Je pense que j'avais probablement choué, mais vous connaissez votre communauté et vos options pour faire face à des abus. Donc, si vous êtes prêt pour cela:

En raison de la manière dont JavaScript est la résolution des symboles, il semble que cela devrait être possible d'évaluer un script dans un contexte où fenêtre , document , ActiveXObject , XMLHTTPQUEST et similaire ne pas avoir leurs significations habituelles: xxx < p> (maintenant qui utilise le mal eval , mais je ne peux pas penser immédiatement à un moyen d'ombre des objets par défaut du navigateur croiseur sans utiliser eval , et si vous " Réception du code comme texte de toute façon ...)

mais il ne fonctionne pas , ce n'est qu'une solution partielle (plus ci-dessous). La logique Il y a que toute tentative dans le code dans code de code pour accéder à la fenêtre (par exemple) accédera à la variable locale fenêtre , pas le global ; et le même pour les autres. Malheureusement, à cause de la manière dont les symboles sont résolus, toute propriété de window est accessible avec ou sans la fenêtre . préfixe ( alerte , par exemple ), vous devez donc les énumérer aussi. Cela pourrait être une liste longue, notamment car Bobince souligne, c'est-à-dire décharger n'importe quel élément DOM avec un nom ou un identifiant sur fenêtre . Donc, vous devrez probablement mettre tout cela dans sa propre iframe afin que vous puissiez faire une course de fin sur que problème et "seulement" doit faire face aux trucs standard. Notez également comment j'ai fabriqué la portée fonctionner une propriété d'un objet, puis que vous seul appelez-le via la propriété. C'est ainsi que ceci est défini sur l'instance SCOPER (sinon, sur un appel de fonction brut, Ceci par défaut sur fenêtre !).

Mais, comme le souligne Bobince, il y a juste tellement de façons différentes de devenir des choses. Par exemple, ce code dans CodeString brise la prison ci-dessus: xxx

maintenant, peut-être vous pouvez mettre à jour la prison Pour que cet exploit spécifique ne fonctionne pas (mucking avec le constructeur constructeur sur tous - tous - des objets intégrés), mais j'ai tendance à en douter. Et si vous pourrait , quelqu'un (comme Bob) viendrait simplement à proposer une nouvelle exploit, comme celui-ci: xxx

d'où la "course d'armement . "

Le seul moyen vraiment approprié de le faire serait d'avoir un analyseur JavaScript approprié intégré à votre site, d'analyser leur code et de rechercher des accès illégaux, puis laissez le code exécuter. C'est beaucoup de travail, mais si votre cas d'utilisation le justifie ...