通过AJAX注入受控HTML是一个安全问题？

Question

我在这里有一个特定的案例,我想要一些安全建议.基本上我的问题是"如果我控制数据库中的内容(没有用户提交数据),是否存在安全问题以返回HTML中的数据库查询结果(通过AJAX)"？

这是正在发生的过程:

1. 每日构建生成一个XML文档
2. 我的服务器检索此XML文档,解析它(使用PHP)并将其输入数据库.
3. 用户进入站点,发送AJAX请求(参数包括要返回的结果数,如何排序以及必要时的搜索项)
4. PHP脚本查询数据库,将结果返回给AJAX回调
5. AJAX回调将结果注入页面以供查看

非常标准的东西......

更多背景:我使用准备好的SQL语句,因此限制用户提供的搜索查询和任何URL篡改来创建任意查询.XML文件只是字母数字,没有代码.我想要返回HTML的原因是尽可能地限制客户端工作,使用HTML,没有必要用JS来生成页面(除了使用jQuery来注入html块).

对我有什么建议吗？

先感谢您.

PS - 这还处于规划阶段,因此没有真正的代码可供展示.

Answer 1

只要您控制输入100%,注入或XSS攻击的风险就很小.无论您采取何种安全措施,都可能发生任何可能发生的攻击,例如更换部分或通过电线注入响应.

保持数据库安全.