xss 防止攻击,恶意用户将输入的信息当成html或js代码执行,办法是将用户输入的信息改为text格式,或特殊符号转义

标签：转换   代码   方法   编码   矛盾   xss   enc   注意   防止   

xss 防止攻击,恶意用户将输入的信息当成html或js代码执行,办法是将用户输入的信息改为text格式,或特殊符号转义

XSS攻击的防范

     XSS攻击造成的危害之所以会发生，是因为用户的输入变成了可执行的代码，因此我们要对用户的输入进行HTML转义处理，将其中的尖括号，引号，单引号等特殊字符进行转义编码，例如“〈”转义后为“&lt；”,“>”转义后为“&gt；”,“‘”转义后为“&amp；”,“"”转义后为“&quot；”

1、将能被转换为html的输入内容，在写代码时改为innerText而不用innerHTML

2、实在没有办法的情况下可用如下方法（js代码）

function safeStr(str){
return str.replace(/</g,‘&lt;‘).replace(/>/g,‘&gt;‘).replace(/"/g, "&quot;").replace(/‘/g, "&#039;");
}

三、XSS防御

xss 防止攻击,恶意用户将输入的信息当成html或js代码执行,办法是将用户输入的信息改为text格式,或特殊符号转义

标签：转换   代码   方法   编码   矛盾   xss   enc   注意   防止   

原文地址：https://www.cnblogs.com/gaoyuechen/p/9387750.html