كثيرون يظنون أن محللات Markdown تحمي تطبيقاتهم من هجمات XSS، لكن هذا غير صحيح. المقال يوضح أن التحليل والتنقية (Sanitization) هما عمليتان منفصلتان، ولا غنى عن التنقية لمنع الثغرات.
يا جماعة المطورين، لدينا خبر مهم قد يغير طريقة تفكيركم في أمان تطبيقات الويب. هل تعلمون أن محلل Markdown الذي تستخدمونه قد لا يحمي تطبيقكم بالكامل من هجمات XSS (Cross-Site Scripting)؟ هذا يعني أنكم قد تظنون أنكم آمنون بينما أبواب تطبيقكم مفتوحة للمخاطر.
القصة ببساطة هي أن هناك فرقاً كبيراً بين ما يفعله محلل Markdown وما يجب أن تفعله عملية التنقية (Sanitization). محلل Markdown، مثل 'Marked' في Node.js، وظيفته ترجمة نص Markdown إلى كود HTML صحيح. هو يفهم بنية النص الذي تكتبه. على سبيل المثال، إذا كتبت '# مرحباً' سيحولها إلى '<h1>مرحباً</h1>'. وإذا أضفت رابطاً آمناً مثل '[آمن](https://example.com)'، فسيقوم بترجمته بشكل صحيح. حتى لو تضمن نص Markdown كود HTML خاماً، فإن المحلل سيمرره كما هو لأن هذا جزء من مواصفات CommonMark.
لكن المشكلة تبدأ عندما يحتوي هذا الكود على عناصر خبيثة. محلل Markdown وحده لا يقرر أي أجزاء من هذا الـ HTML مسموح لها بالوصول إلى متصفح المستخدم. هنا يأتي دور التنقية. هذه العملية، التي يمكن أن يقوم بها أدوات مثل 'DOMPurify'، هي التي تفحص الـ HTML الناتج من المحلل وتزيل أي شيء قد يكون ضاراً. إنها تعمل بقائمة بيضاء، بمعنى أنها تسمح فقط للعناصر والخصائص الآمنة بالمرور.
ماذا يعني هذا لكم؟ يعني أن الاعتماد على محلل Markdown وحده لضمان أمان تطبيقك هو خطأ شائع ومكلف. إذا أدخل مستخدم نص Markdown يحتوي على رابط خبيث مثل '[اضغط هنا](javascript:alert(1))'، فإن محلل Markdown سيمرره. لكن المنقي (Sanitizer) الجيد مثل 'DOMPurify' سيزيله. ليس هذا فحسب، بل يجب على المنقي أيضاً التحقق من الروابط للتأكد من أنها تستخدم بروتوكولات آمنة مثل HTTPS، وليس فقط إزالة الأكواد الجافاسكريبت المباشرة.
هناك أيضاً خطر آخر يُسمى 'DOM clobbering' حيث يمكن للمهاجمين التحكم في أسماء الخصائص والتلاعب بها. المنقيات الحديثة، مع خيارات مثل 'SANITIZE_NAMED_PROPS' في 'DOMPurify'، تعالج هذه المشكلة أيضاً.
إذن، ما هو الحل العملي؟ يجب أن تكون عملية معالجة محتوى Markdown غير الموثوق به كالتالي: أولاً، يمر عبر محلل Markdown. ثانياً، يمكن تطبيق بعض التحويلات على شجرة الـ HTML الناتجة. ثالثاً، وهي الخطوة الأهم، يمر عبر منقي قوي. وأخيراً، يتم تحويله إلى HTML نهائي ليعرض في المتصفح. تذكروا دائماً: التنقية تأتي بعد كل العمليات التي قد تؤدي إلى إدخال محتوى غير آمن. هذا هو الطريق الوحيد لضمان أن ما يراه المستخدم آمن تماماً.
القصة ببساطة هي أن هناك فرقاً كبيراً بين ما يفعله محلل Markdown وما يجب أن تفعله عملية التنقية (Sanitization). محلل Markdown، مثل 'Marked' في Node.js، وظيفته ترجمة نص Markdown إلى كود HTML صحيح. هو يفهم بنية النص الذي تكتبه. على سبيل المثال، إذا كتبت '# مرحباً' سيحولها إلى '<h1>مرحباً</h1>'. وإذا أضفت رابطاً آمناً مثل '[آمن](https://example.com)'، فسيقوم بترجمته بشكل صحيح. حتى لو تضمن نص Markdown كود HTML خاماً، فإن المحلل سيمرره كما هو لأن هذا جزء من مواصفات CommonMark.
لكن المشكلة تبدأ عندما يحتوي هذا الكود على عناصر خبيثة. محلل Markdown وحده لا يقرر أي أجزاء من هذا الـ HTML مسموح لها بالوصول إلى متصفح المستخدم. هنا يأتي دور التنقية. هذه العملية، التي يمكن أن يقوم بها أدوات مثل 'DOMPurify'، هي التي تفحص الـ HTML الناتج من المحلل وتزيل أي شيء قد يكون ضاراً. إنها تعمل بقائمة بيضاء، بمعنى أنها تسمح فقط للعناصر والخصائص الآمنة بالمرور.
ماذا يعني هذا لكم؟ يعني أن الاعتماد على محلل Markdown وحده لضمان أمان تطبيقك هو خطأ شائع ومكلف. إذا أدخل مستخدم نص Markdown يحتوي على رابط خبيث مثل '[اضغط هنا](javascript:alert(1))'، فإن محلل Markdown سيمرره. لكن المنقي (Sanitizer) الجيد مثل 'DOMPurify' سيزيله. ليس هذا فحسب، بل يجب على المنقي أيضاً التحقق من الروابط للتأكد من أنها تستخدم بروتوكولات آمنة مثل HTTPS، وليس فقط إزالة الأكواد الجافاسكريبت المباشرة.
هناك أيضاً خطر آخر يُسمى 'DOM clobbering' حيث يمكن للمهاجمين التحكم في أسماء الخصائص والتلاعب بها. المنقيات الحديثة، مع خيارات مثل 'SANITIZE_NAMED_PROPS' في 'DOMPurify'، تعالج هذه المشكلة أيضاً.
إذن، ما هو الحل العملي؟ يجب أن تكون عملية معالجة محتوى Markdown غير الموثوق به كالتالي: أولاً، يمر عبر محلل Markdown. ثانياً، يمكن تطبيق بعض التحويلات على شجرة الـ HTML الناتجة. ثالثاً، وهي الخطوة الأهم، يمر عبر منقي قوي. وأخيراً، يتم تحويله إلى HTML نهائي ليعرض في المتصفح. تذكروا دائماً: التنقية تأتي بعد كل العمليات التي قد تؤدي إلى إدخال محتوى غير آمن. هذا هو الطريق الوحيد لضمان أن ما يراه المستخدم آمن تماماً.
