アンチサミーポートレットでHTMLターゲット属性を削除する

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

AntiSamyポートレット は、XSSタイプの攻撃を防止するためのものです。 ただし、副作用として、HTMLターゲットが使用されている場合、ポートレットはコンテンツの公開時にターゲットを削除します。

再現までの手順

1. ウェブコンテンツの作成
2. ターゲットが_blankのリンクを埋め込む

   例:link2

3. コンテンツを公開する。
4. Webコンテンツ表示ポートレットでコンテンツを表示し、新しいウィンドウ/タブが開くことを確認する。
5. AntiSamy を Liferay Marketplaceからダウンロードし、導入する。
6. ステップ1～3を繰り返します。
7. これで、コンテンツが新しいウィンドウ/タブではなく、同じウィンドウで開かれることが確認できます。
8. ウェブコンテンツを編集する。 ソース をクリックすると、ターゲットが削除されたことが確認できる。
9. ターゲットを再追加し、パブリッシュします。
10. ウェブコンテンツの編集に戻り、 ソース をクリックすると、ターゲットが再び削除されたことがわかります。

解像度

この行動は意図的なものです。 Liferayプラットフォームは、AntiSamyのデフォルトの設定XMLである sanitizer-configuration.xmlを使用していますが、デフォルトではtarget属性がXSSリスクにさらされる可能性があるため、scruveしています。

しかし、AntiSamyの設定ファイルを設定することで、target属性が機能するようにすることができます。
動作する可能性のあるxmlファイルの設定例は、こちらに記載されています： a タグの target 属性に関する XSS フィルタの問題.

カスタマイズになりますので、元のAntiSamyポートレットのバックアップをとっておくか、可能であれば拡張しておいてください。

追加情報

AntiSamyの設定方法については、OWASPのガイドを参照してください：

• OWASP AntiSamy Project
• デベロッパーガイド（ダウンロード）