HTML-валидатор и проверка XSS
Проверьте HTML на незакрытые и лишние теги, неправильную вложенность, повторяющиеся id и атрибуты, ошибки в сущностях и кавычках. Отдельно валидатор отмечает конструкции, через которые выполняется JavaScript: скрипты, обработчики событий, адреса javascript: и data:, в том числе замаскированные сущностями и пробелами, srcdoc, <base>, <meta refresh>. Код не выполняется и не отображается — проверка безопасна для любой разметки. Всё выполняется в браузере.
Рабочая область
Результат
Инструмент работает в вашем браузере: введённые данные никуда не отправляются.
Как пользоваться
- Вставьте HTML-код страницы или фрагмента.
- Если нужна только проверка на XSS, отметьте соответствующий флажок.
- Нажмите «Проверить» и исправьте замечания: у каждого указана строка.
Вопросы и ответы
Чем это отличается от валидатора W3C?
Проверяются самые частые ошибки разметки и опасные конструкции, но не все правила спецификации HTML. Для полной проверки на соответствие стандарту используйте validator.w3.org. Зато здесь код никуда не отправляется.
Почему ссылка с «javascript:» считается опасной?
Браузер сначала декодирует сущности, а затем выполняет адрес: «javascript:» превращается в «javascript:». Так обходят фильтры, которые ищут слово javascript в исходном тексте. Валидатор декодирует значения так же, как браузер.
Безопасно ли вставлять сюда чужой код?
Да. Код не вставляется в страницу и не выполняется: он разбирается как текст, а результаты выводятся только как текст.