javascript - 用户输入警报消息是否需要进行清理？

Question

我有一个接受多个文件输入的网页。如果文件大小太大或文件类型不正确，我想显示一个警报来警告用户，例如:

FileName: Size exceeds 500kB.

其中FileName是用户指定的文件名。我认为这是用户输入。这里需要进行 sanitizer 吗？那会是什么样子？

Answer 1

根据经验，我总是会清理任何用户输入。我知道这可能听起来很糟糕，但基本上，不要相信你的用户!话虽这么说，我认为没有一种简单的方法可以破解文件输入，但显然有人可以上传恶意文件，该文件通常以 .exe 或 .zip 的形式出现，我将消除这两种文件的上传。

如果我是你，我会查看validate.js ，它提供客户端验证并且设置非常简单。您可以指定接受哪些文件类型以及文件输入的上传大小。

就目前情况而言，您可以回显返回文件名，而无需担心清理文件名。