檢查的javascript注射

Question

是否足以避免JavaScript注入以這樣的方式驗證輸入數據的方式：

xssValidate = function(value) { 
    var container = $("<u></u>").text(value); 
    if($(container).html() != value) return mc.ERROR_INVALID_FORMAT; 
} 

我設法與上述前提交的代碼來驗證所有的文本字段和文字區域價值他們到服務器。

Answer 1

我認爲這對你的用戶來說會很煩人......如果我想輸入「this & that」或「11> 7」，該怎麼辦？

當你輸出它時，你應該做的確實是逃避它。

此外，我希望你在服務器以及客戶端驗證。