博客的评论，如果过滤关键词 script,onerror 等等可能会误判。
‘<’，‘"’，‘>’，‘&’转码为
<>%22;&
感觉转码这四个，应该就稳了。
‘<’，‘"’，‘>’，‘&’转码为
<>%22;&
感觉转码这四个，应该就稳了。
• 请不要在回答技术问题时复制粘贴 AI 生成的内容
如果把评论提交的‘<’，‘"’，‘>’，‘&’都转码为<>%22&;&之类的，是不是就可以防止 xxs。
huahsiung · Sep 29, 2023 · 3815 viewsThis topic created in 1133 days ago, the information mentioned may be changed or developed.
 |
vigossliaoSep 29, 2023
1
|
 |
2
现在浏览器有原生 HTML Sanitizer 了
https://developer.mozilla.org/en-US/docs/Web/API/HTML_Sanitizer_API |
1 |
agagegaSep 29, 2023
3
如果只需要展示纯文本的话，用 innerText 不就行了？
|
 |
hgc81538Sep 29, 2023 via iPhone
4
應該轉碼&<>"'去&<>"'就穩了
|
 |
ysc3839Sep 29, 2023 via Android
5
可能不止这几个字符，建议直接使用现成的 html 转义库
|
 |
rabbbitSep 29, 2023
6
|
 |
xiangyuecnSep 29, 2023
7
onclick='alert(1)'
|
|
xiangyuecnSep 29, 2023
8
不用白名单，直接全部 ASCII 字符除了换行字母数字全部用 { 转义完事
|
Select Language