如何編碼劍道編輯器字段？

Question

我正在使用劍道編輯器。如果我寫入任何html數據，如：<img src=x onerror=alert(0) >作爲輸入。腳本正在執行。意味着劍道編輯器不安全。我如何在客戶端編碼值？

在此先感謝。

Answer 1

我不認爲這裏的問題是如此之多，以至於Kendo編輯器不安全，更多的是JavaScript片段首先將它放到了頁面上。

在初始化時，Kendo編輯器只是將輸入值逐字複製並在編輯器中包含的iFrame中使用它，因此腳本會執行。

通常，您將在顯示之前對用戶內容服務器端進行編碼/清理。這是您的網站生成HTML頁面，因此您可以完全控制輸出，並且需要確保潛在危險的值不會首先添加到輸入值中。

這可能是值得看看Microsoft's AntiXSS offering。