svg-hush

इस टूल का उद्देश्य मनमानी SVG फ़ाइलों को अन्य सामान्य वेब फ़ाइल स्वरूपों में छवियों के रूप में परोसने के लिए उतना ही सौम्य और सुरक्षित बनाना है। SVG फ़ाइलें केवल छवियाँ नहीं हैं, वे ऐसे दस्तावेज़ हैं जिनके पास सभी HTML और JavaScript सुविधाओं तक पूर्ण पहुँच होती है। यह टूल SVG फ़ाइलों को फ़िल्टर करता है ताकि किसी भी संभावित रूप से जोखिम भरी सुविधाओं का उपयोग हटा दिया जाए।

• स्क्रिप्टिंग हटाता है। SVG फ़ाइलों को क्रॉस-साइट स्क्रिप्टिंग हमलों के लिए उपयोग होने से रोकता है। हालाँकि ब्राउज़र `` में स्क्रिप्ट की अनुमति नहीं देते, वे SVG फ़ाइलों को सीधे शीर्ष-स्तरीय दस्तावेज़ के रूप में खोले जाने पर स्क्रिप्टिंग की अनुमति देते हैं।

• अन्य डोमेन पर दस्तावेज़ों के हाइपरलिंक हटाता है। SVG फ़ाइलों को SEO स्पैम और फ़िशिंग के लिए कम आकर्षक बनाता है।

• क्रॉस-ओरिजिन संसाधनों के संदर्भ हटाता है। तीसरे पक्ष को यह ट्रैक करने से रोकता है कि छवि कौन देख रहा है।

यह टूल उन सभी एलिमेंट्स और एट्रिब्यूट्स को हटा देता है जो इसकी allowlist में नहीं हैं और सभी URL को केवल same-origin (बिना होस्ट नाम वाले पाथ) होने के लिए फ़िल्टर करता है। यह कुछ SVG छवियों को तोड़ सकता है। जब आपको कोई ऐसी छवि मिले जो बहुत अधिक कठोरता से फ़िल्टर की गई हो, तो कृपया बग रिपोर्ट करें!

यह टूल SVG फ़ाइलों से अनावश्यक कचरा हटाकर उन्हें छोटा बना सकता है, लेकिन यह SVG ऑप्टिमाइज़र बनने के लिए नहीं है। svg-hush को SVG ऑप्टिमाइज़ेशन टूल्स के साथ संयोजित करना सुरक्षित है।

सैनिटाइज़ेशन बनाम CSP

इस फ़िल्टरिंग के बावजूद, SVG छवियों को एक प्रतिबंधात्मक Content-Security-Policy के साथ परोसना सबसे अच्छा है। यह टूल उन मामलों के लिए defense-in-depth है जहाँ CSP हेडर असमर्थित हो सकता है, खो सकता है, या बायपास हो सकता है (जैसे सर्वर/CMS गलत कॉन्फ़िगरेशन के कारण या ऐसे ServiceWorker के कारण जो हेडर आगे नहीं भेजता)।

ज्ञात सीमाएँ

• लेगेसी टेक्स्ट एनकोडिंग समर्थित नहीं हैं। UTF-8, UTF-16, और latin1 समर्थित हैं।
• बाहरी DTD फ़ाइलों को संदर्भित करने वाले DOCTYPEs की अनुमति नहीं है। आंतरिक सबसेट समर्थित है।
• SVG-in-HTML की शिथिल सिंटैक्स बोली समर्थित नहीं है। SVG दस्तावेज़ सुगठित XML होने चाहिए और SVG नेमस्पेस का उपयोग करने चाहिए।