代码之家 › 专栏 › 技术社区 › eeze

“innerText”是否阻止XSS?

xss html javascript

eeze · 技术社区 · 7 年前

Element.innerText = "user input" 在javascript中,还是需要额外过滤输入以防止XSS?

1 回复 | 直到 7 年前

KevBot 7 年前

“innerText”是否阻止XSS?

内容提供了以下示例(为了清晰起见,我对其进行了修改)

const tag = document.createElement("script");
tag.innerText = `console.log('Inner Text Used')`;
document.body.appendChild(tag); //executes code

... 使用innerText/textContent。这将解决问题,并且是重新调解基于DOM的XSS漏洞的正确方法

推荐文章

code-geek · Jquery根据单选按钮选择隐藏或显示文本字段

1 年前

Jamie · 在CSS链接的文件名中添加Jinja占位符

1 年前

ptownbro · 重叠分区标签,同时保持以下所有分区和内容就位

1 年前

Luke Frost IEng MIMechE · Bootstrap 5.3在Div中的项目位置没有如我所期望的那样显示

1 年前

Reegan · 使用Angular ngFor指令在html中渲染嵌套对象值

1 年前

wqyutv · 当找不到文件时,任何破坏错误的东西都不会出现,我该怎么解决这个问题?

1 年前

user29519291 · 为不同的变量创建一个带有可重用Click函数的简单菜单

1 年前

Gukkey · 在React中明确隐藏日期类型输入后,如果我单击父div,如何显示日期选择器?

1 年前

Lorenzo Bertolaccini · 在Angular项目中通过对话框后,在控制台中显示但在HTML中不显示的数据数组

1 年前

john Rizzo · 按钮背景颜色、悬停和活动状态存在问题

1 年前