Ist Markdown-Rendering vor XSS sicher?

Referenzleitfaden

Kurzantwort

Behandle aus Markdown erzeugtes HTML als nicht vertrauenswürdig. Ein Parser kann rohes HTML übernehmen, weil die Syntax es erlaubt; die Markdown-Konvertierung bereinigt die Ausgabe nicht. Der Parser ist ein Übersetzer für Markup, kein Sicherheitsfilter.

Wo die Vertrauensgrenze liegt

Die CommonMark-Spezifikation sieht vor, dass tagförmiges rohes HTML ohne Escaping ausgegeben wird. Das tatsächliche Verhalten hängt von Parser, Optionen, Plugins und Framework ab. Marked weist ausdrücklich darauf hin, dass es das erzeugte HTML nicht bereinigt. Markdown-Syntax belegt nicht, dass die Eingabe sicher ist; der Sanitizer muss den endgültigen HTML-Sink schützen.

Sicherer Rendering-Ablauf

UNSICHER — nicht vertrauenswürdige Ausgabe einfügen

const html = marked.parse(userMarkdown);
container.innerHTML = html; // Parserausgabe nicht bereinigt

ABGESICHERT — direkt vor dem HTML-Sink bereinigen

import DOMPurify from "dompurify";

const html = marked.parse(userMarkdown);
container.innerHTML = DOMPurify.sanitize(html, {
  USE_PROFILES: { html: true }
});

Das Beispiel nutzt DOMPurifys reines HTML-Profil, weil diese Ansicht weder SVG noch MathML benötigt. Beschränke den Funktionsumfang auf den tatsächlichen Bedarf. Verändere bereinigtes Markup nicht und reiche es vor dem Einfügen nicht durch eine weitere HTML-verändernde Bibliothek; dadurch können die Garantien entfallen. Wenn kein Rich-HTML nötig ist, nutze die sichere Textausgabe des Frameworks. Content Security Policy und Trusted Types sind zusätzliche Schutzschichten, kein Ersatz für Sanitizing.

Prüfpunkte für den Produktivbetrieb

✓Fixiere die Markdown-Parser-Version und prüfe Optionen für rohes HTML, Plugins und URLs.
✓Bereinige das endgültige HTML direkt vor dem HTML-Sink mit einem gepflegten Allowlist-Sanitizer.
✓Beschränke Elemente, Attribute und URL-Protokolle auf die benötigten Funktionen.
✓Bearbeite oder parse bereinigtes Markup nicht erneut; bereinige nach jeder nötigen Transformation nochmals.
✓Teste die genaue Parserkonfiguration und den Rendering-Sink und halte den Sanitizer aktuell.

FAQ

Macht das Abschalten von rohem HTML Markdown sicher?

Es entfernt eine Eingabefunktion, garantiert allein aber keine Sicherheit. Prüfe Links, Bilder, Erweiterungen, erzeugtes HTML und den Einbettungskontext; bereinige die Ausgabe für einen HTML-Sink.

Darf ich HTML nach dem Bereinigen verändern?

Vermeide das. Nachträgliche Änderungen können unsicheres Markup einführen oder Sanitizer-Entscheidungen aufheben. Transformationen zuerst, Bereinigung zuletzt.

Macht DOMPurify jede Ausgabe in jedem Kontext sicher?

Nein. Nutze es für HTML-Fragmente gemäß dem dokumentierten Bedrohungsmodell, halte es aktuell, verwende eine enge Richtlinie und nutze das Ergebnis nicht in JavaScript- oder CSS-Strings wieder.

Quellen

Siehe auch Cross-Site-Scripting (XSS, CWE-79): Funktionsweise und Schutz in jeder Sprache — flawopen.com Schützt Svelte standardmäßig vor XSS? Ist ein SVG-Upload ein XSS-Risiko? XSS-Risiko durch Vue v-html WKWebView: Nicht vertrauenswürdiges HTML? Reflected, Stored und DOM-basiertes XSS: Wo liegt der Unterschied? Sicherheitsrisiken von addJavascriptInterface unter Android