XSS攻击预防

Question

我正在开发一个用户可以响应博客条目的Web应用程序.这是一个安全问题,因为它们可以发送危险数据,这些数据将呈现给其他用户(并由javascript执行).

他们无法格式化他们发送的文本.没有"大胆",没有颜色,没有任何东西.只是简单的文字.我想出了这个正则表达式来解决我的问题:

[^\\w\\s.?!()]

所以任何不是单词字符(aZ,AZ,0-9),而不是空格,".","？","!","(或")"将被替换为空字符串.每个quatation标记将被替换为:""".

我检查前端的数据,然后在服务器上查看.

有人可以绕过这个"解决方案"吗？

我想知道StackOverflow是如何做到这一点的？这里有很多格式,所以他们必须做好工作.

Answer 1

例如，可以使用 Fiddler 附加表单信息来绕过前端。在后端使用 html 编码，例如 <a> = <a> ；

这样，文本将显示为文本而不是 html 元素。