javascript - 执行以下操作是否 100% 安全？

Question

执行以下操作是否 100% 安全？

var untrusted_input_from_3rd_party = '<script>alert("xss")<\/script>';
document.getElementsByTagName('body')[0].appendChild(document.createTextNode(untrusted_input_from_3rd_party));

考虑到第三方可以输入任何东西(HTML、CSS等)，如果我通过createTextNode传递然后添加到主场？

Answer 1

这是防止 XSS 的好方法。通过 createTextNode 进行的 DOM 操作被广泛用于安全地嵌入第三方文本。

也就是说，除了 XSS 之外还有问题。如果不受信任的输入类似于以下内容，它不会采取任何措施来阻止社会工程尝试:

ALERT: We have detected malware on your computer. Copy and paste http://evil.org/ into your browser URL bar to fix the problem.

防止社交工程(除了不包括第三方内容)的最好方法是明确说明内容来自第三方。