使用`<textarea>`来防止脚本

Question

嗯.而不是"defanging"输入或使用某种正则表达式删除标签,将用户的东西转储到一个<textarea>？

例如,假设有一个PHP页面执行以下操作:

echo '<textarea>';
echo $_GET['whuh_you_say'] ;
echo '</textarea>';

通常这很容易受到xss攻击,但是textarea,所有脚本标签只会显示为,<script>并且不会被执行.

这不安全吗？

Answer 1

</textarea>
  <script type="text/javascript">
    alert("this safe...");
    /* load malicious c0dez! */
  </script>
<textarea>