cloudflare/svg-hushRendilo sicuro per servire file SVG non attendibili
L'obiettivo di questo strumento è rendere file SVG arbitrari il più possibile benigni e sicuri da servire come immagini in altri comuni formati di file Web. I file SVG non sono solo immagini, sono documenti con pieno accesso a tutte le funzionalità HTML e JavaScript. Questo strumento filtra i file SVG per rimuovere l'uso di qualsiasi funzionalità potenzialmente rischiosa.
Rimuove lo scripting. Impedisce che i file SVG vengano utilizzati per attacchi di cross-site scripting. Sebbene i browser non consentano script in ``, consentono lo scripting quando i file SVG vengono aperti direttamente come documento di primo livello.
Rimuove i collegamenti ipertestuali a documenti su altri domini. Rende i file SVG meno attraenti per lo spam SEO e il phishing.
Rimuove i riferimenti a risorse cross-origin. Impedisce a terze parti di tracciare chi sta visualizzando l'immagine.
Questo strumento rimuove qualsiasi elemento e attributo che non sia nella sua allowlist e filtra tutti gli URL affinché siano solo same-origin (percorsi senza un nome host). Potrebbe compromettere alcune immagini SVG. Per favore segnala un bug quando trovi un'immagine che viene filtrata in modo troppo aggressivo!
Questo strumento potrebbe ridurre le dimensioni dei file SVG rimuovendo elementi superflui, ma non è pensato per essere un ottimizzatore SVG. È sicuro combinare svg-hush con strumenti di ottimizzazione SVG.
Indipendentemente da questo filtraggio, è preferibile servire le immagini SVG con un Content-Security-Policy restrittivo. Questo strumento è una difesa in profondità per i casi in cui l'header CSP potrebbe non essere supportato, andare perso o essere aggirato (ad esempio a causa di una configurazione errata del server/CMS o di un ServiceWorker che non inoltra gli header).
DOCTYPE che fanno riferimento a file DTD esterni non sono consentiti. Il sottoinsieme interno è supportato.