javascript - 使用 JavaScript 在 textarea 中禁止特定的 HTML 标签

Question

我如何使用 JavaScript 来阻止用户在文本区域中输入这些 HTML 标记？

<style></style>
<script></script>
<embeded></embeded>
<img src="" />

Answer 1

在使用 Javascript 进行客户端输入验证时，有时会遗漏一个问题:验证过程可能会以编程方式被绕过，从而使客户端能够发送标签(或更一般意义上的数据)您的服务器-side 脚本没有预料到。例如，有人可以编写一个机械化的抓取工具，将 GET 或 POST 请求直接发送到您的服务器端脚本。这样做会绕过 javascript 输入验证。如果您的服务器端脚本不检查有效输入，它可能会变得丑陋。在最坏的情况下，恶意用户可能会通过注入(inject)有害数据来利用松散的服务器端清理。

因此，Javascript 可用于“鼓励”行为良好的输入，但它也不能替代严格的服务器端验证和清理。