Безопасно встроить javascript на форум?

самый главный вопрос - а надо ли? есть реальный use-case?

Если есть нормальное решение — почему бы не реализовать? :) Случаи использования пользователями единичные, конечно (за год), но лишняя возможность форума лишней не будет :)

пока делается eval для приема AJAX-ответов по JSON - все защиты можно легко, в общем-то... Основная идея: не делать eval.

Или ты про блокировку javascript в браузерах?

Вместо левого домена использовать доверенный фильтрующий узел, отдавая уже потребителю рафинированный контент...

Вместо левого домена использовать доверенный фильтрующий узел, отдавая уже потребителю рафинированный контент...

Нет. Задача именно разрешить пользователю получать JavaScript, размещённый другими пользователями.

Нет. Задача именно разрешить пользователю получать JavaScript, размещённый другими пользователями.

есть песочницы для этого. Когда то была статья от или про микрософт, про реализацию такой песочницы ...

Что-то вроде этого: http://habrahabr.ru/post/116898/ ,но может устарело

Основная проблема, понятное дело, утечка кук с хешем-идентификатором.

alert("анонимус одобряэ")

Можно. Куки бывают подписанные, бывают зашифрованные(https), и тупо http куки. Они не доступны js. Т.ч. никаких утечек не будет при грамотном подходе. Но нафига обмениваться кодом, при этом не контролируя его? Можно его, конечно, пропускать через санитайзер/антивирь эдакий, но нужно ли это? Доверять нельзя никаким данным извне системы. Так тебе могут прислать что угодно вместо js.

Тебе очень будет приятно, если зайдешь в какой-нибудь тред, а там добрый человек вставил iframe с <audio> какого-нибудь бибера на автоплей? :)

В целом, идея сэндбоксить чужой код в iframe вполне жизнеспособна, но обычно при этом в принудительном порядке происходит премодерация QA-командой содержания этого iframe.

for(;;); ага. Лучше даже и не пытайся.

А что, если вставить такой JS в iframe на левом домене?

Можно. Но он не будет иметь доступа к родительской странице, смысл в таком скрипте. И кроме кук можно другие гадости делать, например редирект на другой сайт или фейковую страницу авторизации.

Похоже, что ты даже не представляешь какие мерзости можно делать с обычным js, даже без embeded. От мелкого баловства, типа замены всех запятых на странице на ", бл*," до вполне себе неплохого ddos'а на сторонние сайты. Добавь к этому еще и обфускатор и хрен ты поймешь какая страница на твоем форуме тебе гадит. А если у тебя еще используется Ajax, то сожранный трафик, dos и пр. прелести будут ждать и твой сервак.

Можно. Но он не будет иметь доступа к родительской странице

Это понятно, это и требуется.

И кроме кук можно другие гадости делать, например редирект на другой сайт или фейковую страницу авторизации.

А редирект, развен, не для фрейма сработает, а для всей страницы?

От мелкого баловства, типа замены всех запятых на странице

Из iframe?

до вполне себе неплохого ddos'а на сторонние сайты

Это не так страшно. Вставки подобные единичны, активного посещения не будет, сразу после закрытия страницы всякий «DDoS» отвалится.

Пока реальная проблема, как я понимаю, только куки домена верхнего уровня.

до вполне себе неплохого ddos'а на сторонние сайты

Это не так страшно. Вставки подобные единичны, активного посещения не будет, сразу после закрытия страницы всякий «DDoS» отвалится.

Да? Посмотри на свою суточную посещаемость и длительность сессий (которые вырастут из-за долгой загрузки страницы) и прикинь сколько нужно для небольшого ддоса: http://roem.ru/2014/03/18/ddos94739/

А санкций со стороны поисковиков и антивирусов не боишься? Попадет ресурс в черные списки...

+ Не забывай, что порой достаточно и одного посещения, распространение вирусов и спайваре идет через специально подготовленные страницы открываемые в ифреймах на выкупленных рекламыных площадках.

А санкций со стороны поисковиков и антивирусов не боишься?

Можно отдавать такой контент только зарегистрированным пользователям :)

Итак постоянно приходится это делать в свете гугловых заморочек последнего времени.

Вроде window.location доступен на запись