javascript - 使用文本区域利用 jQuery HTML 解码

Question

跟进 my last question ...

如果攻击者可以访问 encodedText，则可以利用此代码:

return $('<div/>').html(encodedText).text();

例如$("<div/>").html('<img src="X" onerror="alert(\'hi\');" />').text()显示警报。

This answer建议使用 textarea而是为了避免 XSS 漏洞:

return $('<textarea/>').html(encodedText).text();

这能够安全地处理之前的漏洞。

然而，this answer表示使用textarea时仍然存在XSS漏洞:

I suggest using a safer, more optimized function

don't use jQuery.html().text() to decode html entities as it's unsafe because user input should never have access to the DOM

我的问题是:是否有任何浏览器可以利用 $('<textarea/>').html(encodedText); 的方法？假设攻击者可以访问 encodedText 运行 XSS ？

Answer 1

老实说，我不会冒险，如果您在服务器端处理任何需要加密或未加密的内容，会安全得多。