JavaScript uit html filteren

[[ti]]

Een website die ik beheer heeft voor gebruikers de mogelijkheid om 'Extra Info' in hun profiel te zetten. Dit gebeurt in html. Natuurlijk komen hier een aantal dingen bij kijken, zoals JavaScript in html waar gebruikers enge dingen mee (kunnen) doen.

Nu heb ik er aan gedacht om UBB-style tags te gaan gebruiken, maar dit is me te gelimiteerd (en te complex als je veel html tags wilt gaan gebruiken). Vandaar dat ik besloten heb om a-la hotmail JavaScript en evt. andere gevaarlijke tags uit de html te gaan strippen.

Nu is het mogelijk om op verschillende manieren javascript te gebruiken. bv <script language="javascript"> of <a href="javascript:blablabla">burps</a>. En zo zijn er nog veel meer

Mijn vraag: is er iemand op de hoogte van een script/proggel (taal maakt niet zoveel uit) die javascript uit je html kan filteren? Ik heb flink wat sites (google,onno,devshed,etc) afgezocht, maar weinig nuttige informatie gevonden.

[Gerco]

Zo moeilijk is dat niet, je moet gewoon <script> vervangen door <script>, zoals topix dat ook doet en er is geen vuiltje aan de lucht.

Voor die tweede kun je iets doen als "javascript:" vervangen door "".

[[ti]]

edit:

ik post te snel

Ik ga ff klungelen

[ACM]

En anders bijv stripslashes van php gebruiken met <script> als een van de weinige in de 'strip'array.
Rest nog de <*=*javascript:*> vervangen door iets spannends.

[Korben]

Ja, maar daar heb je die javascript: links nog niet mee, en bovendien staat het mooier als je <script> vervangt door <script>. Je moet "javascript ook nog es vervangen door "javascrpt: (bijvoorbeeld)

[drm]

vervang dmv. een regex alle voorkomende onClick="*", onMouseOver="*", onMouseOut="*" etc. met leegte, en alle voorkomende "javascript:" door "javascript:void(0);" en alle voorkomende <script>-blokken door leegte. (kan ook heel eenvoudig met regex.

regex manual