作者mchen11 (mchen11)
看板Ajax
标题[问题] 如何防止发文或留言的内容执行 script？
时间Wed Jul 29 21:39:57 2015
例如像论坛这样的环境，发文者或留言者的内容，若是恶意藏有
js 的话，请问要如何防止？
假设内容有 <script> 标签的话比较简单，在发文者送出内容之前，
用正规表示式就能侦测到并移除。不过怕是在 html 标签里面放事件，
例如： <img src="" onload="执行的 script"/>
这样就可以偷渡 script 了。不晓得 js 有没有什麽写法，可以在送出
内容之前，过滤掉所有的事件语法，或是其他的处理方式呢？谢谢！
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 118.165.31.50
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Ajax/M.1438177200.A.F58.html
1F：推 oToToT: 直接送出去後，在後端做htmlspecialchars之类的就可以了吧 07/29 22:14
2F：→ MangoTW: 转成替代字元，他打角括号你就让他显示角括号就可以了。 07/29 22:16
这样不行吧？ <img..../> 变成 <img.../> 图片就不能显示了...@@"
3F：推 mmis1000: 如果你想让他可以输入某些tag其实也有现成的处理lib可以 07/30 04:24
4F：→ mmis1000: 帮你'消毒',保留你允许的标签和属性 07/30 04:24
※ 编辑: mchen11 (118.165.6.172), 07/30/2015 09:23:18
5F：推 Peruheru: 你可以自己规范比如说图片要用 [img]src[/img]，自己转 07/30 09:42
6F：→ Peruheru: 然後使用上面的encode不允许使用者使用HTML标签 07/30 09:43
7F：→ Peruheru: 这样一来出现的一定都是你允许的内容 07/30 09:44
8F：推 LPH66: 或者就直接使用已有的类似编码规范例如 BBCode 等 07/30 17:09
10F：→ mmis1000: 像这种的，可以白名单你允许用的东西 07/30 18:23
11F：→ mmis1000: 不过server还是要再跑一次，你不能相信client给的东西 07/30 18:24