防止XSS攻击

Question

我正在创建一个网页,用户可以在远程计算机上进行交互并执行基本文件系统操作(创建文件/目录,删除文件/目录,导航文件系统).该网页是基本的HTML(UTF-8编码)和Javascript.我需要让这个网页XSS证明.

是否可以使用Javascript(这输出百分比编码的十六进制值)来逃避用户输入中的所有非字母数字字符(以防止基于DOM的XSS)和文件名信息(以防止存储的XSS)？

我基本上只将字母数字输入列入白名单.此外,由于我使用百分比编码的十六进制值,我假设不应该存在UTF编码漏洞.

任何人都可以想到这个机制中的任何安全漏洞吗？

Answer 1

使用javascript(我认为这就是你所说的)进行转义似乎并不太安全.它在用户计算机上运行,​​他们可以通过一些努力绕过转义机制.

你想要做的事情听起来是正确的,但你需要在服务器端进行.

Answer 2

这听起来很安全，而且可能确实如此，但有一个问题。只有正确实施它才有效。这太容易出错了。如果你想这样做，那没关系，但我建议使用一些已经测试过的库来做到这一点，而不是滚动你自己的库。