javascript - 通过 Javascript 设置表单字段值时的安全注意事项？

Question

我想知道直接通过 Javascript 设置表单字段值是否存在安全问题。我很确定在任何情况下这样做都是安全的，但我应该绝对确定而不是非常确定。所以，我征求您的意见。

我的意思是:

假设我有一个 HTML 表单，其中包含一个 ID 为“txt_Field”的文本输入字段，并且我正在执行以下操作:

...
myvalue = "<script>alert('I am evil');</script>";
document.getElementById("txt_Field").value = myvalue;
...

即我将表单字段的值设置为保存在变量中的字符串，而不以任何方式转义或过滤该字符串。当然，该字符串实际上会包含用户生成的输入以及各种邪恶的东西。

尽管如此，我认为这样做是安全的。有人知道证明相反的例子吗？

请注意，问题不在于当表单数据发送到服务器时，未过滤的表单字段值是否会对后端造成危害。

我只是想知道是否有人能想到 myvalue 中的任何内容会在以这种方式设置表单字段值时欺骗(现代)浏览器进入奇怪的行为，或者我是否普遍误解了一些非常重要的事情。

非常感谢!

Answer 1

我认为这是安全的，因为要运行您的代码 - 您应该使用 eval()方法。当然，它绝对安全!