일부 HTML 입력을 허용합니다. 태그만 제한하지 않고 URL scheme과 링크 속성도 검사해야 하는 이유는 무엇인가요?

꼬리 질문을 독립 문항으로 확장했습니다. 원래 문항에서 맥락 보기 →

잠깐, 답변을 보기 전에
먼저 내 말로 설명해 볼까요?

답변과 점검 포인트 펼치기답변 접기

구두 답변

정의를 외우기보다, 원리와 조건을 연결해 설명해 보세요.

허용 태그 안의 링크도 javascript 등 실행 가능한 scheme이나 외부 전송 목적지를 가질 수 있습니다. HTML 파서 기반의 검증된 sanitizer로 태그·속성·URL 의미를 함께 제한합니다.

문맥별 출력 인코딩과 안전한 DOM API를 유지하고 정규식 치환만으로 HTML 전체를 해석하지 않습니다. target·rel·이미지·스타일·SVG 지원 범위를 좁힙니다. sanitizer 결과를 다시 문자열 병합해 위험한 문법으로 바꾸는 후속 경로도 검사합니다.

이해가 드러나는 지점을 확인해 보세요.

허용 태그 안의 링크도 javascript 등 실행 가능한 scheme이나 외부 전송 목적지를 가질 수 있습니다. HTML 파서 기반의 검증된 sanitizer로 태그·속성·URL 의미를 함께 제한합니다.
sanitizer 결과를 다시 문자열 병합해 위험한 문법으로 바꾸는 후속 경로도 검사합니다.

놓치기 쉬운 조건과 오해를 짚어 보세요.

다음 핵심 구분을 반대로 설명하거나 성립 조건을 생략한다: 허용 태그 안의 링크도 javascript 등 실행 가능한 scheme이나 외부 전송 목적지를 가질 수 있습니다.

하나 더 질문하며 이해의 범위를 넓혀 보세요.

득점·감점 포인트는 학습용 자기 점검 기준이며, 특정 회사의 실제 채점표가 아닙니다.

답변을 보충하는 개념·예제·슈도코드를 읽어 보세요.