Sanitizar HTML enriquecido con librería probada

Sanitizar es analizar el HTML como lo haría un navegador, quedarse con los elementos, atributos y esquemas de enlace que están en una lista de permitidos y descartar todo lo demás. Un filtro hecho con expresiones regulares hace lo contrario: busca patrones malos conocidos dentro de un texto que no entiende. Falla por dos lados. No sabe cómo el navegador va a reconstruir un marcado irregular, y cada elemento o atributo nuevo que nadie previó pasa sin más, porque no estaba en su lista de cosas malas.

Por eso la hoja de referencia de OWASP para prevenir XSS recomienda, para HTML escrito por usuarios, una librería de sanitización probada en lugar de un filtro propio, y parchearla con regularidad, porque los navegadores cambian. Las librerías serias trabajan con lista de permitidos y se configuran: decides qué elementos, atributos y esquemas aceptas. En PHP una de las conocidas es HTML Purifier (licencia LGPL-2.1), que combina listas de permitidos con un analizador propio.

Abre el laboratorio y lee LimpiadorCasero.php y pruebas-sanitizador.txt en la carpeta tinajacoa-resenas. El equipo de calidad describió cada caso por su categoría y anotó qué hizo con él el filtro actual y qué hizo la librería con la configuración propuesta.

Una librería con lista de permitidos es tan buena como su lista. Lee sanitizador-resenas.php y busca en los casos de calidad el que la librería conserva sin que nadie lo quiera en una reseña. Un atributo que permite estilos en línea deja que una reseña se ponga encima del resto de la página o la tape entera, sin una sola línea de script.

El mejor sanitizador no sirve en la ruta que no lo llama. Las reseñas entran por la web y por la app móvil, y las dos terminan en la misma tabla que la ficha del libro pinta con |raw. Compara ResenaController.php con ResenaApiController.php y busca en rutas-api.php cuál es la ruta del segundo.

Queda decidir el sitio. Si se sanitiza al guardar, todos los caminos de entrada tienen que pasar por el mismo punto; si se sanitiza al pintar, cualquier contenido viejo queda cubierto por la política vigente. Muchas aplicaciones guardan el original y sanitizan al pintar, o guardan las dos versiones y vuelven a sanitizar cuando cambia la política.