WireMark — eine sichere Auszeichnungssprache

WireMark nimmt überhaupt kein HTML an und muss es daher nicht bereinigen. Der Text durchläuft zuerst eine Prüfung: Limit von 100 000 Zeichen, Vereinheitlichung der Zeichendarstellung und Entfernen unsichtbarer Steuerzeichen. Dann erkennt die Bibliothek 24 Elementarten und baut nur aus ihnen HTML. Sonderzeichen wandelt sie in sichere Entsprechungen um. Links werden nur mit dem Protokoll https, http oder mailto durchgelassen (optional nur von ausgewählten Domains), Bilder nur über https, und Farben, Rahmenarten, Code-Sprachen und Emoji haben jeweils eigene Listen erlaubter Werte. Neben dem HTML liefert die Bibliothek ein Protokoll dessen, was sie abgelehnt hat, und ein Signal, dass der Inhalt verdächtig aussieht, und eine separate Funktion prüft den Text vor dem Speichern. Für NestJS gibt es ein fertiges Modul, das all das in der Anwendung verdrahtet.

Fertig sind die Bibliothek (ca. 970 Zeilen TypeScript, ohne externe Pakete), die Integration für NestJS und zwei Seiten in reinem HTML und JS. Die erste ist eine Demo mit Editor und Live-Vorschau, die zweite ein visueller Editor mit Befehlsmenü unter „/“, schwebender Formatierungsleiste, Inhaltsverzeichnis und Export nach HTML, WireMark oder reinem Text. In der Demo werden ein eingefügtes Skript, ein Bild mit angehängtem Skript und ein javascript:-Link als reiner Text angezeigt oder blockiert, und eine separate Leiste zeigt, was abgelehnt wurde.