Javascript XSS防范

Question

有一个Node.js项目负责数据处理，还有一个用于JavaScript的OWASP库负责处理数据处理以防止XSS。

null

var pattern = /<(.*)>/;

function hasHtmlTags(string) {
    return pattern.test(string);
};

if (hasHtmlTags(userData)) {
    // Do something?
} else {
    // Create entity.
}

Answer 1

下面是一个通用的编码过程：

var lt = /</g, 
    gt = />/g, 
    ap = /'/g, 
    ic = /"/g;
value = value.toString().replace(lt, "&lt;").replace(gt, "&gt;").replace(ap, "&#39;").replace(ic, "&#34;");

如果您的用户没有向您的服务器提交任何内容，您甚至不需要上述内容。如果用户提交，而您正在使用用户输入，那么上面的内容应该是安全的。只要“<”和“>”是全局消毒的，括号也是，你就可以走了。