Hakuna matata!

Sind unsere Wiki-Beispiele alle so bösartig geschrieben, dass sich damit XSS-Angriffe durchführen lassen?

Wer weiß, unser Wiki erlaubt auch unangemeldeten Benutzern Artikel zu schreiben und zu bearbeiten. Wer Lust darauf hat, der könnte so einen Angriff problemlos starten.

Und wenn wir schon eine JavaScript-Spielweise bauen, dann sollten wir auch direkt das volle Potenzial ausschöpfen und keine exklusive Lösung für das Wiki bauen, sondern gleich auch an das Forum denken.

Meinst Du mit einem <iframe sandbox="allow-same-origin"> wäre ich besser dran? Inwiefern? Müsste ich dann nicht auch noch "allow-scripts" dazuschreiben, damit mein JS-Code im Iframe ausgeführt wird?

Hm... "allow-scripts" bräuchte man auf jeden Fall, schließlich soll man den Beispielcode auch ausführen dürfen.

"allow-same-origin" darf nicht gesetzt sein, wenn wir den Fiddle-Server unter der selben Domain wie das Wiki betreiben, denn das würde dem Skript erlauben aus der Sandbox auszubrechen. Allerdings wird vom w3c sowieso empfohlen, dass die iframe-URL auf eine andere Domain verweist. In diesem Fall wäre "allow-same-origin" wieder sinnvoll und ich meine auch ungefährlich.

Ich habe ehrlichgesagt ganz schön Bauchschmerzen, wenn ich daran denke, so ein Fiddle-Dingsbums selber zu entwickeln. Ich kann nicht mal sagen, ob das sandbox-Attribut alle Probleme in Punkto Sicherheit lösen kann oder ob man doch besser auf eine ganz eiegene VM setzen muss. Ich sehe mich gar nicht dazu in der Lage überhaupt die diversen Szenarien abzuschätzen und mir ein Bild davon zu machen, welche Sprachfeatures alles missbraucht werden könnten.

Versteh ich mich nicht falsch, ich bin auch sehr dafür, dass wir unser Wiki mit so einer Online-Spielwiese bereichern, ich will nur dazu mahnen, dass wir uns das genau überlegen, bevor wir etwas überstürzen, das uns später enorme Schwierigkeiten einbringen kann. Allen voran möchte ich mal die Frage in den Raum stellen, ob wir bei SELFHTML überhaupt die nötige Expertise aufbringen können, um so einen Service selber zu entwickeln und zu betreiben. Ich bin nicht davon überzeugt und würde doch lieber auf einen Dirttanbieter setzen.