angularjs - 哪里转义html？

Question

我正在使用 angularjs、node.js 和 mongodb 编写一些代码，这些代码允许用户添加评论，这些评论由运行在 node.js 上的服务器存储在 mongodb 中。

我的策略是用 gt 和 lt 替换 < 和 >。我应该在哪里做这个？如果我在客户端执行此操作，则有人可以通过使用 postman 之类的东西向我的服务器发帖来绕过它，尽管 google 验证码可能至少有一点帮助。

如果我在服务器上进行转义，是否为时已晚？我想在服务器路由中拦截它并在它存储在 mongo 之前进行操作。

或者，在仅存储评论的情况下，我什至需要做这样的事情吗？

Answer 1

您不需要自己进行转义。 MongoDB 可以很好地处理特殊字符。因为它不使用任何 SQL，所以不用担心任何 SQL 注入(inject)。您可以直接将用户在评论中键入的内容准确地存储到数据库中。

但是，您可以考虑验证这些文本以避免某些人试图在评论中注入(inject) JavaScript 代码，这将导致 XSS攻击。

至于你想用客户端的数据做什么，如果可能的话，你应该总是在后端(服务器端)处理这些数据，因为一旦你的应用程序或网络公开，它是暴露于黑客工具。