用户可编辑HTML XSS保护（tumblr等）(User-editable HTML XSS pr

我希望我的服务能有这样一个特点：作者可以完全自定义的页面，但不能窃取用户的Cookie。

tumblr了一些麻烦与，但他们解决了成功http://www.riyazwalikar.com/2012/07/stored-persistent-xss-on-tumblr.html

所以，我需要与解决方案

1. 没有节制
2. 完全访问的用户，作者的网页的HTML代码，不想白名单过滤和模板语言（也就是它是如何工作的，现在:(）
3. 没有机会窃取对方的饼干（对其他作者的页面）
4. 集中认证分贝
5. 可取的：没有作者的每个页面上的身份验证

据我了解tumblr：

1. 无需访问单独的域彼此的饼干
2. 用户仍然在验证每个子域（如何??? www.tumblr.com JS访问主会话cookie？是不是安全的？）
3. AUTH饼干应该是仅Http？..

我能有安全，舒适，为用户解决方案？ 是的cookie盗窃的完全访问的主要问题，以HTML吗？

Answer 1:

我希望我的服务能有这样一个特点：作者可以完全自定义的页面，但不能窃取用户的Cookie。

所以我想，你要为他们启用JavaScript，但你不希望允许操纵饼干。 这应该是简单：只需将其放置在用户的页面加载之前：

if (document.__defineGetter__)
{    
    document.__defineGetter__("cookie", function () { return ""; } );
    document.__defineSetter__("cookie", function () { } );
}
else // IE
{
    Object.defineProperty(document, "cookie",
    {
        get: function () { return ""; },
        set: function () { return true; },
    });
}

---

用户仍然在验证每个子域（如何??? www.tumblr.com JS访问主会话cookie？是不是安全的？）

这也很简单 - 饼干支持这一点。 它的domain属性：

Set-Cookie: name=value; path=/; domain=.example.com

---

AUTH饼干应该是仅Http？..

当然-他们应该是更好的安全性。

文章来源: User-editable HTML XSS protection (tumblr like)