防止輸入型攻擊

Question

我從輸入型這樣的值：

var num  = $(document).find('#num').val(); 

我試圖避免用下面的代碼XSS攻擊的輸入類型：

num = jQuery(num).text().replace('script', '') ; 

但它不工作。還有其他想法？

Answer 1

即使此代碼的工作，你不能避免使用javascript XSS攻擊。如果你想這樣做：$(document).find('#num').val($(document).find('#num').val().replace('script',''));

現在你有價值在你輸入哪些腳本字符串被刪除，但如果有人在你的輸入中寫入<scscriptript>？在中間刪除腳本字符串後，會出現另一個腳本標記。你必須在服務器端檢查你的輸入。