Tắt JavaScript trong iframe/div

Question

Tôi đang tạo một trình chỉnh sửa trang HTML nhỏ. Trình chỉnh sửa tải tệp vào iframe. Từ đó, nó có thể thêm, sửa đổi hoặc xóa các phần tử trên trang với thuộc tính, kiểu mới, v.v. Vấn đề với điều này, là JavaScript (và/hoặc các ngôn ngữ lập trình khác) có thể sửa đổi hoàn toàn trang khi tải, trước đó bạn bắt đầu chỉnh sửa các phần tử. Vì vậy, khi bạn lưu, nó sẽ không lưu đánh dấu ban đầu, nhưng trang sửa đổi + thay đổi của bạn.

Vì vậy, tôi cần một số cách để vô hiệu hóa JavaScript trên khung nội tuyến hoặc bằng cách nào đó xóa tất cả JavaScript trước khi JavaScript bắt đầu sửa đổi trang. (Tôi nghĩ tôi sẽ phải phân tích cú pháp tệp cho PHP, nhưng điều đó không quá khó) Tôi đã xem xét viết một kịch bản để lặp qua tất cả các phần tử, xóa bất kỳ thẻ nào, onclick's, onfocus's, onmouseover's, v.v. đó sẽ là một nỗi đau thực sự.

Có ai biết cách dễ dàng hơn để loại bỏ JavaScript chạy bên trong iframe không?

CẬP NHẬT: trừ khi tôi đã bỏ lỡ điều gì đó, tôi tin rằng không có cách nào để chỉ đơn giản là 'tắt JavaScript'. Nêu tôi sai vui long chân chỉnh tôi. Tuy nhiên, tôi đoán cách duy nhất để làm điều đó là phân tích bất kỳ thẻ tập lệnh và sự kiện JavaScript nào (nhấp, di chuột qua, v.v.) từ một chuỗi trang được yêu cầu.

Answer 1

Bạn có thể thử cùng một giải pháp được thông qua bởi ckeditor, trong đó bạn có một bản demo here.
Bằng cách chuyển từ chế độ RTE sang chế độ xem nguồn, bạn có thể nhập một số JavaScript và xem kết quả, đó là thay thế nút JS trong chuỗi được mã hóa an toàn.
Nếu bạn đang ở trong xem nguồn chế độ, bằng cách nhập một số dòng JS như:

<script type="text/javascript"> 
// comment 
alert('Ciao'); 
</script> 

bạn sẽ thấy nó trả lại theo cách này khi trở lại soạn thảo văn bản giàu chế độ:

<!--{cke_protected}%3Cscript%20type%3D%22text%2Fjavascript%22%3E%0D%0A%2F%2F%20comment%0D%0Aalert('Ciao')%3B%0D%0A%3C%2Fscript%3E--> 

Tôi nghĩ rằng đó là một trong những cách dễ nhất và hiệu quả, vì RegExp phân tích cú pháp các nút JS không phức tạp.
Một ví dụ:

var pattern = /<script(\s+(\w+\s*=\s*("|').*?\3)\s*)*\s*(\/>|>.*?<\/script\s*>)/; 
var match = HTMLString.match(pattern); // array containing the occurrences found 

(Tất nhiên, để thay thế nút kịch bản bạn nên sử dụng phương pháp thay thế()).

Trân trọng.

Answer 2

Có, bản cập nhật của bạn là chính xác. Bạn phải giả định rằng bất kỳ đầu vào nào bạn nhận được từ người dùng đều có thể chứa các phần tử độc hại. Vì vậy, bạn phải xác nhận trên máy chủ trước khi chấp nhận đầu vào của họ :-)

Answer 3

HTML5 giới thiệu thuộc tính "sandbox" trên khung nội tuyến (nếu trống) sẽ vô hiệu hóa việc tải và thực thi javascript.

https://developer.mozilla.org/en-US/docs/Web/HTML/Element/iframe#attr-sandbox

Answer 4

Bạn có thể đặt Content Security Policy như script-src 'tự' trong tiêu đề. CSP sẽ chặn bất kỳ tập lệnh nào khác ngoài các trang web của chúng tôi. Bằng cách này, chúng tôi có thể ngăn chặn bất kỳ tập lệnh nào từ khung nội tuyến thay đổi các yếu tố trong trang của chúng tôi.

Bạn có thể nhận được thêm thông tin từ đây http://www.html5rocks.com/en/tutorials/security/content-security-policy/