하루 동안 이것저것 시도해보다가 이 답변을 찾았습니다.
이것은 헛수고였던 것 같고 다른 방향으로 진행해야 할 것 같습니다.
elem.innerHTML에 <script>alert(1)</script> 를 설정하면 이스케이프가 해제되어 가 됩니다. (컴포저에서 직접 입력하면 미리보기에서 이스케이프되지 않은 형태로 입력할 경우 제거되는 것을 확인할 수 있습니다.) 이것이 문제인지, 아니면 CSP가 이를 차단할까요?
https://meta.discourse.org/t/mitigate-xss-attacks-with-content-security-policy/104243!csp error|690x191
설명용으로 스크립트 태그를 포함한 게시물들도 이러한 CSP 오류를 발생시키는 것 같습니다. 이제 정말로 혼란스럽습니다. 저장형 XSS에 대해 걱정해야 하는지, 아니면 CSP가 단순히 이를 차단할까요? 컴포저에서는 ckeditor를 사용하며 이는 셀프 XSS를 방지합니다. 만약 걱정해야 한다면, 위험한 태그를 제거해야 할 것 같습니다. 현재는 단순히
value = Loofah.fragment(value).scrub!(:escape).to_s
를 실행하고 있지만, 이 값으로 elem.innerHTML을 설정하면 HTML 엔티티가 단순히 이스케이프 해제되어 아무런 효과가 없는 것 같습니다.
수정: 마침 혼란의 원인을 찾았습니다: 인스펙트 엘리먼트(Inspect Element)는 실제 HTML을 보여주지 않습니다. 이미 HTML 엔티티를 변환해서 보여줍니다.
인스펙터에서 editashtml을 클릭하면 모든 것이 실제로는 정상임을 알 수 있습니다. 보이지 않는 태그들이 렌더링되는 것을 봤다면 이미 이 방향으로 생각을 했어야 했는데 말이죠.