svg-hush

الهدف من هذه الأداة هو جعل ملفات SVG العشوائية حميدة وآمنة لتقديمها كصور في صيغ ملفات الويب الشائعة الأخرى. فملفات SVG ليست مجرد صور، بل هي مستندات تتمتع بوصول كامل إلى جميع ميزات HTML وJavaScript. تقوم هذه الأداة بتصفية ملفات SVG لإزالة استخدام أي ميزات قد تكون خطرة.

• تزيل البرمجة النصية. تمنع استخدام ملفات SVG في هجمات البرمجة النصية عبر المواقع (cross-site scripting). فعلى الرغم من أن المتصفحات لا تسمح بالسكربتات داخل ``، إلا أنها تسمح بالبرمجة النصية عندما تُفتح ملفات SVG مباشرة كمستند من المستوى الأعلى.

• تزيل الروابط التشعبية إلى مستندات على نطاقات أخرى. تجعل ملفات SVG أقل جذبًا لرسائل البريد العشوائي الخاصة بتحسين محركات البحث (SEO spam) والتصيد الاحتيالي (phishing).

• تزيل المراجع إلى الموارد عبر الأصول (cross-origin resources). تمنع الأطراف الثالثة من تتبع من يشاهد الصورة.

تزيل هذه الأداة أي عناصر وسمات غير موجودة في قائمة السماح الخاصة بها، وتصفّي جميع عناوين URL لتكون من نفس الأصل فقط (مسارات بدون اسم مضيف). قد تؤدي إلى كسر بعض صور SVG. يُرجى الإبلاغ عن خطأ عند العثور على صورة تُصفّى بقسوة مفرطة!

قد تجعل هذه الأداة ملفات SVG أصغر حجمًا عبر إزالة الحشو غير الضروري منها، لكنها ليست مخصصة لتكون محسّنًا لـ SVG. من الآمن دمج svg-hush مع أدوات تحسين SVG.

التعقيم مقابل CSP

بغض النظر عن هذه التصفية، من الأفضل تقديم صور SVG مع Content-Security-Policy تقييدية. هذه الأداة هي دفاع متعدد الطبقات للحالات التي قد يكون فيها ترويسة CSP غير مدعومة، أو مفقودة، أو متجاوزة (على سبيل المثال بسبب سوء إعداد الخادم/CMS أو ServiceWorker لا يمرر الترويسات).

القيود المعروفة

• ترميزات النصوص القديمة غير مدعومة. UTF-8 وUTF-16 وlatin1 مدعومة.
• لا يُسمح بـ DOCTYPEs التي تشير إلى ملفات DTD خارجية. المجموعة الفرعية الداخلية مدعومة.
• لهجة صيغة SVG-in-HTML المتساهلة غير مدعومة. يجب أن تكون مستندات SVG بصيغة XML سليمة التكوين وأن تستخدم فضاء أسماء SVG.