HTML-Sanitizer

HTML bereinigen mit Allowlist

Der HTML-Sanitizer entfernt aus HTML alles, was Skripte ausführen oder Nutzer auf gefährliche Ziele lenken kann. Das ist der Kern, wenn Sie XSS verhindern wollen, also Cross-Site-Scripting über Inhalte, die Nutzer selbst eingeben: Kommentare, Profiltexte oder E-Mails, die Sie als HTML anzeigen. Das Werkzeug liest die Eingabe mit dem DOMParser des Browsers in ein inaktives Dokument ein, in dem nichts ausgeführt und nichts geladen wird, und baut daraus nur die erlaubten Teile wieder auf.

Grundlage ist eine Allowlist statt einer Sperrliste: Nur ausdrücklich erlaubte Elemente und Attribute bleiben stehen. Gefährliche Tags entfernen heißt hier: script, style, iframe, object, embed, form, svg, math und ähnliche verschwinden samt Inhalt. Unbekannte Elemente wie font oder center werden aufgelöst, ihr Text bleibt erhalten. Event-Handler wie onclick oder onerror fliegen immer raus. In href und src sind nur http, https, mailto und tel sowie relative Adressen erlaubt, damit javascript:-Links auch in verschleierter Form nicht durchkommen. Zum Schluss prüft das Werkzeug, ob das Ergebnis beim erneuten Einlesen gleich bleibt, und warnt sonst.

Grenzen: Dieses Werkzeug zeigt, wie Bereinigung funktioniert, und hilft beim Prüfen einzelner Schnipsel. In Ihrer Anwendung sollten Sie eine gepflegte Bibliothek wie DOMPurify im Browser oder den Sanitizer Ihres Frameworks auf dem Server einsetzen und zusätzlich eine Content-Security-Policy setzen, etwa mit dem CSP-Generator. Wenn Sie Text nur anzeigen und gar kein HTML zulassen wollen, genügt Escaping, siehe HTML-Entities.