Decide: restore html-comment-strip broad sweep with framework-marker allowlist
メンテナーはふだん 3 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 30/100
- issue の種類
- 機能追加
- 明瞭さ
- 説明が足りない
- 活発さ
- 静か
- 技術スタック
- typescript
- 領域
- security
調査の方向性
Start by reading issue #176 and the current html-comment-strip behavior, including the INJECTION_PATTERNS set and its blanking semantics. Catalog the framework marker shapes and SSR or license comments named in this issue, then document whether a stable allowlist supports restoring the broad sweep. Done means a clear decision about the behavior and the risks of keeping the allowlist synchronized.
索引モデルが issue の本文から書いたものです。
説明
Follow-up to #176.
Before #176, html-comment-strip removed every comment outside <script> / <style> / <noscript>. After #176, it scrubs only comments whose data matches the INJECTION_PATTERNS set (currently 11 patterns) — and blanks them in place rather than detaching. The narrowing is what makes React Suspense markers ($, /$, $?, $!, [, ], …) safe automatically: they don't match any pattern, so they're left alone, and the framework's unmount walk doesn't trip on a missing node.
Tradeoff
Narrowing to pattern matches caps coverage at the recognized shapes. Novel injection phrasings, off-pattern prose, and benign-looking comments carrying instruction-shaped text — all of which used to be removed — now stay visible.
Decision needed
Should we restore broad-sweep behavior with a framework-marker allowlist (skip $ / /$ / [ / ]-prefixed data, plus any other markers we identify), and continue blanking via comment.data = \"\" rather than detaching?
Tradeoffs to weigh:
- For: restores pre-#176 coverage for off-pattern injection prose; reduces dependence on
INJECTION_PATTERNSkeeping pace with attacker phrasing. - Against: allowlist enumeration becomes load-bearing — a missed framework marker re-introduces the navigation crash class through a different path. Frameworks evolve their hydration marker syntax over time (React 18 → 19 changed marker shapes); we'd need a story for keeping the allowlist in sync.
Either way, no detach — the carrier stays attached.
Suggested next step
Catalog the marker shapes currently in the wild (React 18/19, Vue 3, Svelte 4/5, Astro islands, htmx, Lit hydration) and a few SSR build stamps / license headers we don't want to touch, then re-evaluate whether the allowlist is small/stable enough to be worth the broad sweep.
- 主要言語
- TypeScript
- スター
- 34
- フォーク
- 3
- 平均マージ
- 3日 3時間
- マージ済み PR（30日）
- 35
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
pixiebrix/agent-browser-shield のほかの issue
-
enhancement rule-proposal
難易度 5/5 1週間以上 初心者へのやさしさ 28/100
pixiebrix/agent-browser-shield#123 · コメント 1 件 ·
メンテナーはふだん 3 日以内に返信
-
enhancement rule-proposal
難易度 5/5 1週間以上 初心者へのやさしさ 25/100
pixiebrix/agent-browser-shield#122 ·
メンテナーはふだん 3 日以内に返信
-
enhancement rule-proposal
難易度 5/5 1週間以上 初心者へのやさしさ 38/100
pixiebrix/agent-browser-shield#121 · コメント 1 件 ·
メンテナーはふだん 3 日以内に返信
-
enhancement rule-proposal
難易度 5/5 1週間以上 初心者へのやさしさ 35/100
pixiebrix/agent-browser-shield#120 ·
メンテナーはふだん 3 日以内に返信
pixiebrix/agent-browser-shield の issue をすべて見る
似ている issue
-
dx hacktoberfest help wanted
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
メンテナーはふだん 1 日以内に返信
-
documentation
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
cloudflare/agents#2498 ·
メンテナーはふだん 1 日以内に返信
-
Missing repro Platform: Android
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
software-mansion/react-native-reanimated#10816 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
-
e2e-failure ready-to-code
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
redhat-developer/rhdh-plugin-export-overlays#4129 ·
メンテナーはふだん 1 日以内に返信