javascript - 检查输入并将其转换为适当的类型以防止 XSS

Question

假设我从用户那里获得“姓名”，他输入 <script>alert("you got xss!");</script>

但是在服务器上我转换: name= name_from_frontend.toString();在将其保存到数据库之前。
同样，我检查 int using parseInt()
float using parseFloat()
boolean using typeof(variable_name)等等。

还有转义的必要吗< , &以及 OWASP 提到的其他字符防止XSS？

Answer 1

对字符串类型调用toString()没有帮助。您可能需要删除诸如 script 等邪恶标签。

大多数服务器端语言，例如 python ( https://pypi.python.org/pypi/bleach )、php (strip_tags()) 等都有专注于清理恶意标记的函数库，以便您稍后可以安全地使用该输入。

如果你想要 JS 解决方案，你应该检查 https://www.npmjs.com/package/sanitize-html ，它可以完成这项工作，但旨在与 Node 一起使用。示例:

clean = sanitizeHtml(dirty, {
  allowedTags: [ 'b', 'i', 'em', 'strong', 'a' ],
  allowedAttributes: {
    'a': [ 'href' ]
  }
});