← كل الملاحظات
أمن
تنقية HTML: لا تكتب أداتك بنفسك
إن كان تطبيقك يعرض HTML لم يكتبه، فأنت تحتاج مُنقّياً. التعابير النمطية ليست منقّياً، وطرق تجاوزها أكثر إبداعاً ممّا تتوقّع.
الخلاصة بالعربية
- أي HTML لم تكتبه أنت هو مدخل غير موثوق.
- التصفية بالتعابير النمطية تُتجاوَز دائماً؛ استخدم منقّياً حقيقياً.
- حدّد قائمة وسوم وسمات مسموحة صريحة بدل حظر ما تتذكّره.
- نقِّ على الخادم أيضاً، لا في المتصفح فقط.
- الأفضل: لا تعرض HTML أصلاً واستخدم ماركداون محدوداً.
هذا المقال مكتوب بالإنجليزية ↓
تحتاج بناء هذا باحتراف؟
أبني منصّات آمنة وسريعة وثنائية اللغة لعملاء في مصر والسعودية والإمارات والكويت.
