如果我用'&lt;'替换所有'<',我的网站是否可以安全使用XSS？

Question

我想知道从XSS到网站安全的最低要求是什么.

如果我只需更换<与<所有用户提交的内容,将我的网站从安全XSS？

Answer 1

在很大程度上取决于背景.

此外,编码不仅仅是一个想法的闪光.您应该只编码具有特殊含义的所有字符,并且可以用于XSS ...

• <
• >
• "
• '
• &

对于一个简单的例子,其中编码小于无关紧要的是这样的......

欢迎来到Dodgy Site.请链接到您的主页.

恶意用户进入...

http://www.example.com" onclick="window.location = 'http://nasty.com'; return false;

这明显变成......

<a href="http://www.example.com" onclick="window.location = 'http://nasty.com'; return false;">View user's website</a>

如果您编写双引号,则该攻击无效.