ironpress安全深度解析：HTML消毒与网络策略如何防御XSS和SSRF攻击

ironpress安全深度解析：HTML消毒与网络策略如何防御XSS和SSRF攻击

【免费下载链接】ironpressPure Rust PDF converter, no browser, no external dependencies. Supports HTML with inline CSS, Markdown, and document conversion with a built-in layout engine.项目地址: https://gitcode.com/gh_mirrors/ir/ironpress

ironpress 是一款纯 Rust 编写的 HTML/Markdown 转 PDF 转换器，不依赖浏览器与外部组件。当你用它批量转换来路不明的 HTML 文档时，它如何防止恶意脚本（XSS）和内网探测（SSRF）？本文带你深入 ironpress 的安全层源码，拆解它内置的 HTML 消毒器与网络策略两大防线。

1. 为什么PDF转换工具也是"安全边界"？

很多人以为"HTML 转 PDF"只是排版渲染，但 ironpress 直接解析不可信输入：

• HTML 输入：可能夹带<script>、事件处理器、危险 URL；
• 远程资源：开启remote特性后，文档中的图片、样式表会通过 HTTP 拉取——攻击者可借此让转换器去请求169.254.169.254（云元数据服务）等内网地址，即典型的 SSRF。

ironpress 在 src/security/ 目录下构建了两道闸门：输入端的HTML 消毒器（sanitizer.rs）与输出端的网络策略（network.rs+resources/policy.rs），全部用 Rust 静态安全模型实现，零第三方浏览器风险。

2. HTML消毒器：五道XSS防线

核心实现在 src/security/sanitizer.rs，转换管线在解析前强制执行。

2.1 输入闸门：10MB 体积上限 + 500 层嵌套深度

消毒的第一步不是删标签，而是"限流"：

• 输入超过10 MB直接拒绝；
• 标签嵌套深度超过500 层直接拒绝。

这是针对"超深嵌套炸弹"这类拒绝服务（DoS）攻击的廉价保险丝，避免恶意 HTML 耗尽解析栈。

2.2 危险标签整段移除

remove_tag_with_content会连同内容一起剥离五类高危标签：

被移除标签	威胁类型
<script>	任意脚本执行（XSS 主通道）
<iframe>/<object>/<embed>	嵌套不可信内容、插件加载
<form>	表单劫持、数据外传

2.3 事件处理器：带引号感知的 onXXX 剥离

remove_event_handlers逐字节扫描标签，移除onclick、onload等全部onXXX属性。这里有个值得学习的细节：剥离器会跟踪引号状态——class="chip one"中属性值里的one不会被误判为事件处理器而破坏引号结构（对应回归测试见 src/security/sanitizer/tests.rs 的preserves_attribute_value_token_starting_with_on）。

2.4 URL 与 CSS 消毒：javascript: 与 expression( 双双拦截

• 全文清除javascript:协议，斩断<a href="javascript:...">通道；
• <style>标签保留（CSS 是排版刚需）但内容会被二次消毒：未授权本地根时移除@import、删除expression(（IE 动态属性脚本），并对其中所有 CSS URL 做根路径重写。

2.5 资源路径授权：img 标签也不能"指哪读哪"

sanitize_dom_resources对每个<img src>、SVG<image href>做授权解析：URL 必须落在文档基础路径边界内，解析失败则整个属性被删除，而非放行。这防止了消毒后的 HTML 通过图片引用越界读取本地任意文件。

3. 网络策略：三道锁防SSRF

远程资源拉取受 src/security/resources/policy.rs 的NetworkPolicy统一管控，默认策略是"公网放行、私网拒绝"。

3.1 IP地址分类：默认封死所有非公网地址

address_allowed依据 IANA 地址分类（bogon库 +is_global判断）默认拒绝：回环127.0.0.1、RFC1918 私网、链路本地169.254.169.254云元数据地址、组播、保留与文档段，以及 IPv6 对应的::1、fc00::/7等。

更狠的是非标准 IP 字面量归一化：http://2130706433/（127.0.0.1 的十进制写法）会被解析还原后照样拦截，绕道写法无处遁形。

3.2 DNS 钉扎：解析后二次校验，防重绑定攻击

经典 SSRF 绕过是 DNS 重绑定（首次解析为公网，连接时解析为内网）。ironpress 的做法是把校验下沉到连接器之前：自定义PinnedResolver接管 ureq 的 DNS 解析结果，逐个过滤实际要连接的SocketAddr，任一地址不合规就整体报HostNotFound（见 src/security/network.rs）。

3.3 白/黑名单 + 重定向逐跳复检

• 主机列表：example.com精确匹配，.example.com匹配子域名（不匹配主域）；deny 永远优先于 allow；
• 重定向：默认最多 8 跳，且每一跳的目标都重新走一遍完整校验——302 跳到内网照样被拒（测试redirect_to_a_non_allowed_private_host_is_rejected验证了此场景）；
• 响应体上限：默认 10 MB，超限直接放弃，防资源耗尽。

4. 如何配置ironpress网络策略

只需组合式 Builder 微调默认策略（源码同样位于 src/security/resources/policy.rs）：

let policy = NetworkPolicy::default() .with_allow_list([".cdn.example.com".parse()?]) .max_redirects(3) .max_body_size(2 * 1024 * 1024);

若部署在代理之后，代码注释明确提醒：最终跳的 IP 分类责任在该受信代理侧，ironpress 的 allow 条目仍会对目标 URL 生效——安全责任边界划分得非常清楚。

5. 持续保障：模糊测试与安全披露

• 模糊测试覆盖 HTML、CSS、完整管线与表格/Flex 等易碎点，见 fuzz/fuzz_targets/；
• 漏洞报告流程与范围（HTML/CSS/SVG 解析、资源路径边界、消毒绕过、内存安全等）在 SECURITY.md 中公开，鼓励通过私有通道提交最小复现输入。

6. 总结：ironpress安全设计可借鉴清单

1. 🛡️先限流再消毒：体积 + 深度双上限拦截 DoS；
2. 🧹白名单思维做内容，黑名单思维做标签：CSS 保留但 URL 逐一授权；
3. 🌐IP 校验下沉到连接器之前：从根上杜绝 DNS 重绑定；
4. 🔁重定向逐跳复检：把 302 当作新的不可信输入；
5. 🧪回归测试钉住每个绕过手法：十进制 IP、大小写主机名、引号内on前缀……

ironpress 证明了"安全防线"不是大项目专属——一个纯 Rust 的 PDF 转换器，用不到千行安全代码就守住了 XSS 与 SSRF 两条战线，值得每个处理不可信输入的工具开发者参考。

【免费下载链接】ironpressPure Rust PDF converter, no browser, no external dependencies. Supports HTML with inline CSS, Markdown, and document conversion with a built-in layout engine.项目地址: https://gitcode.com/gh_mirrors/ir/ironpress