3

我最近提交的 Firefox 附加站点（基于 Firefox 附加 SDK 1.10）被拒绝了，因为我没有清理我使用的输入并建议使用nsIParserUtils.

我parseHTML(doc, html, allowStyle, baseURI, isXML)在该页面中找到了该功能。我将其更改为：

function parseHTML(doc, html, allowStyle, baseURI, isXML) {
    var parser = Cc["@mozilla.org/parserutils;1"].getService(Ci.nsIParserUtils);
    var f =  parser.parseFragment(html, allowStyle ? parser.SanitizerAllowStyle : 0,
                                        !!isXML, baseURI, doc);
    return f;
}

其中的第一个参数被称为文档元素。我不知道那应该是什么？我试过document.createDocumentFragment()但我得到“ReferenceError：文档未定义”错误。有人可以帮助我如何调用此函数吗？

并且该函数返回一个nsIDOMDocumentFragment. 如何将其转换回字符串？

更新：

正如@zer0 所建议的，我使用了：

var parser = Cc["@mozilla.org/parserutils;1"].getService(Ci.nsIParserUtils);
var sanitizedHTML = parser.sanitize(html, flags);

但这违背了我想做的事情的目的。例如：

<html><head><BASE href='http://localhost/t/h.html' />
<link rel="stylesheet" type="text/css" href="h.css">
<style type="text/css">
.b{
    color:green;
}
</style>
<base href="http://foo.example.com/">
</head><body>Sample Text. No Style
<script>Hello malicious code</script>
<p class="a">External Style</p>
<p class="b">Internal Style</p>
<p style="color:blue">Inline Style</p>

<a href="sample.html">Link</a><br><br><div style='color: #666666; font-size: 12px'>Clipped on 6-October-2012, 07:37:39 PM from <a href='http://localhost/t/h.html'>http://localhost/t/h.html</a> </div></body></html>

转换为：

<html><head>  


<style type="text/css">
.b{

    color:green;
}
</style>



</head><body>Sample Text. No Style

<p class="a">External Style</p>
<p class="b">Internal Style</p>
<p style="color:blue">Inline Style</p>

<a>Link</a><br><br><div style="color: #666666; font-size: 12px">Clipped on 6-October-2012, 07:37:39 PM from <a href="http://localhost/t/h.html">http://localhost/t/h.html</a> </div></body></html>

由于这剥离了外部超链接和 CSS，它违背了附加组件本身的目的。我想要的只是要删除的脚本：

<html><head><BASE href='http://localhost/t/h.html' /> <BASE href='http://localhost/t/h.html' /> 
<link rel="stylesheet" type="text/css" href="h.css">

<style type="text/css">
.b{

    color:green;
}
</style>
<base href="http://foo.example.com/">


</head><body>Sample Text. No Style
<p class="a">External Style</p>
<p class="b">Internal Style</p>
<p style="color:blue">Inline Style</p>

<a href="sample.html">Link</a><br><br><div style='color: #666666; font-size: 12px'>Clipped on 6-October-2012, 07:37:39 PM from <a href='http://localhost/t/h.html'>http://localhost/t/h.html</a> </div></body></html>

有人可以对此有所了解吗？

4

2 回答 2

3

删除外部样式的链接是有原因的：无法验证外部样式并且它们可能很危险（特别是-moz-binding可用于运行代码）。此外，假设您可以将 HTML 代码放在跟随相对链接不安全的位置（例如 Thunderbird 中的邮件消息）。然而，绝对链接总是好的。

您可能想要做的是预处理 HTML 代码以消除这些问题 - 解决对外部样式的相对链接和内联引用。像这样的东西：

// Parse the HTML code into a temporary document
var doc = Cc["@mozilla.org/xmlextras/domparser;1"]
               .createInstance(Ci.nsIDOMParser)
               .parseFromString(html, "text/html");

// Make sure all links are absolute
for (var i = 0; i < doc.links.length; i++)
    doc.links[i].setAttribute("href", doc.links[i].href);

// Make sure all stylesheets are inlined
var stylesheets = doc.getElementsByTagName("link");
for (i = 0; i < stylesheets.length; i++)
{
    try
    {
        var request = new XMLHttpRequest();
        request.open("GET", stylesheets[i].href, false);
        request.send(null);
        var style = doc.createElement("style");
        style.setAttribute("type", "text/css");
        style.textContent = request.responseText;
        stylesheets[i].parentNode.replaceChild(style, stylesheets[i]);
        i--;
    }
    catch (e)
    {
        // Ignore download errors
    }
}

// Serialize the document into a string again
html = Cc["@mozilla.org/xmlextras/xmlserializer;1"]
         .createInstance(Ci.nsIDOMSerializer)
         .serializeToString(doc.documentElement);

// Now sanizite the HTML code
var parser = Cc["@mozilla.org/parserutils;1"].getService(Ci.nsIParserUtils);
var sanitizedHTML = parser.sanitize(html, parser.SanitizerAllowStyle);

请注意，我使用同步 XMLHttpRequest 来下载样式表内容 - 为简单起见，您的最终代码应使用request不会挂起用户界面的异步下载（很可能通过模块）。

于 2012-10-12T13:39:31.840 回答
2

其中的第一个参数被称为文档元素。我不知道那是什么？

你不需要那个。只需使用nsIParserUtils.sanitize方法，该方法只需获取一个字符串作为输入并返回经过清理的版本作为输出：

var parser = Cc["@mozilla.org/parserutils;1"].getService(Ci.nsIParserUtils);
var sanitizedHTML = parser.sanitize(html, flags);

检查“常量”部分上方的链接，以查看您需要在场景中拥有哪些标志。

于 2012-10-06T10:11:02.393 回答