1

Мне нужно, чтоб люди вставляли код в свой пост. У меня код людей пишется в iframe, чтоб они хулюганили. Т.е. не src = "url", а srcdoc ="код". Нужно чтоб вот такие вещи не работали

window.parent.document.write("<h1>Текст</h1>")

Т.е. у меня вот такая конструкция<iframe srcdoc="' + переменная + '">.

Может быть из переменной вырезать "parent"? Без какого слова нельзя будет пробраться к родителю? Спасибо.

1 ответ 1

1

Как вариант вы можете воспользоваться данным регулярным выражением для удаления скриптов:

var pattern = /<script(\s+(\w+\s*=\s*("|').*?\3)\s*)*\s*(\/>|>.*?<\/script\s*>)/;
var match = HTMLString.match(pattern); // получим массив совпадений с регулярным выражением

Далее можно воспользоваться функцией str.replace();

Также для iframe существует атрибут sandbox, который позволяет блокировать формы и скрипты.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.