從Javascript保護HTML表單/攻擊

Question

我有一個表單，並且現在，您可以鍵入任何JavaScript等等。任何XSS等。

我該如何着手創建白名單，以便您只能發佈字符。

在某一點上，我想任何與http://開始轉換爲

<a href="http://..."></a>

感謝

是這有效嗎？ http://htmlpurifier.org/

Answer 1

的jQuery或JavaScript是首選

哦，不，你不能這樣做，你看到了什麼？因爲即使你「消毒」使用JavaScript您的數據，沒有人的距離

• 停止任何人關閉JavaScript的
• 使用瀏覽器的開發者控制檯亂用數據
• 直接做POST，沒有瀏覽器

換句話說，您必須在服務器端執行驗證/清理。 Javascript驗證可以提高用戶的體驗（例如，通過提供對無效輸入的即時反饋）。

Answer 2

但是，在許多高負載應用程序開發人員使用部分客戶端驗證（但所有輸入必須準備寫入數據庫）。因爲你將使用PHP，我建議你用htmlspecialchars（），mysql_real_escape_string（）等解析你的$ _POST值。您必須使用正則表達式將任何以「http：//」開頭的內容轉換爲鏈接（也可以使用explode（'。'，$ _POST ['yourInput']），這可以更容易爲你）。