自分のサーバーでユーザーがJSを実行可能な時の対策

質問

ユーザーが簡単なホームページを作成できるWebサービスを作りました。
テンプレートはこちらで用意し、テンプレート内のテキストを入力するとサイトが作成できるものです。

サイトは私のWebサービス上で生成されるのでユーザーのサイトのドメイン名とWebサービスは同じです。

ここで不安が出てきました。

テンプレートにはGoogleアナリティクスのトラッキングコードを入力できるフォームを用意してあります。
<script>～</script>で囲われたやつです。

もし、このスクリプトに悪意のあるコードを入力されたら、Webサービスと同じドメイン内で実行できるので、セキュリティ的にマズイと思うのです。

これについて、どのように対処すれば良いのでしょうか？

「スクリプトを入力できないようにすれば？」という回答を頂きそうですが、それも一応考えてはいるのですが、もしスクリプトを入力できるようにできるという条件でどのような対策が可能か教えてほしいのです。

どうぞよろしくお願い致します。

回答No.1

b0a0a · ベストアンサー

ユーザー毎にサブドメインで分けてください。
それ以上の解決策はありません。

お礼

ありがとうございます！