javascript - 清理数据以防止 XSS

Question

这个问题已经有答案了:

Fastest method to escape HTML tags as HTML entities? (12 个回答)

已关闭 4 年前。

我在设置转义字符串和清理从服务器发送到客户端的数据的正确方法时遇到问题。

我尝试过在 Javascript 中内置的encodeURI 函数，但是我的聊天中的名称看起来很粗，其中包含 % 等。

function sendChat(data){
  var message = `<div class="message flex">
    <div class="image flex flex-v flex-h">
      <img src="${ data.avatar }">
    </div>

    <div class="content">
      <div class="name flex">
        <div>
          ${ data.username }
        </div>

        <div class="level">
          ${ data.level }
        </div>
      </div>

      <div class="text">
        ${ data.message }
      </div>
    </div>
  </div>`;

  $('.chat .box').append(message);
 }

每当用户将alert('hi')作为文本消息输入时，它显然会发送到客户端并转换为正确的js，但是为了防止这种情况，我想在不显得奇怪的情况下清理数据，是否有任何适当的函数可以使用，以便我仍然可以安全地清理数据而不使其看起来磨损......？

Answer 1

用这个

var StrippedString = OriginalString.replace(/(<([^>]+)>)/ig,"");