JavaScript：Web页面中与脚本相关的HTML标记的不适当中性化（基本XSS）

Question

    const xhr = new XMLHttpRequest();
    xhr.open("GET", url, true);
    xhr.responseType = "arraybuffer";
    xhr.onreadystatechange =  () => {
        if (xhr.readyState === 4 && xhr.status === 200) {
            var windowUrl = window.URL || window.webkitURL;
            var blobUrl = windowUrl.createObjectURL(new Blob([xhr.response]));
            const doc = document.createElement('a');
            document.body.appendChild(doc);
            doc.href = blobUrl;
            if (filename) {
                doc.download = filename;
            }
            doc.click();
            windowUrl.revokeObjectURL(url);
        }
    }
        xhr.send();

document.body.appendChild(doc);

不确定对我的答复我需要申请什么样的验证。

Answer 1

这是一个相当复杂的主题，第一道防线应该是在使用这样的工具将HTML添加到页面之前对其进行消毒。

https://github.com/jitbit/htmlsanitizer

维基百科对不同的预防技术有很大的总结。