javascript - 代码摘录 : Does this create a vulnerability to XSS?-6ren

javascript - 代码摘录 : Does this create a vulnerability to XSS?

转载作者：行者123 更新时间：2023-11-28 09:27:01

26

4

所以我对 JavaScript 比较陌生，尽管我一直在做 HTML/CSS UI 前端工作(我知道这是亵渎)，并且正在开发我自己的样板文件以用于 future 的元素。我对从 XSS、CodeInjection 等保护代码的想法也很陌生。

以下是我一直在努力的完整工作摘录。在生产中，JavaScript 将被缩小并从外部文件加载，而不是内联加载，这只是为了便于使用的示例。

我想知道通过将变量输出创建为纯文本并通过 document.getElementById("x").href 插入它是否会为 CSS 攻击等漏洞留下漏洞。有大量关于这些类型漏洞的信息，但作为安全代码环境的相对新手，它令人望而生畏并且有点不知所措。

PS，<p></p>也只是为了测试。

提前感谢大家!

对于代码:

<!DOCTYPE html>

<html>
    <head>
        <meta charset="utf-8" />
        <title>Title</title>

        <!-- required CSS -->

        <!-- conditional CSS -->
        <link rel="stylesheet" type="text/css" href="assets/css/mq/null" id="mediaquery" />
    </head>

    <body>

        <p id="test"></p>

        <script type="text/javascript">
        (function setCSS() {
            if (window.matchMedia("screen and (max-width: 767px)").matches) {
                layout = "mobile";
            } else if (window.matchMedia("screen and (min-width: 768px) and (max-width: 1024px)").matches) {
                layout = "tablet";
            } else if (window.matchMedia("screen and (min-width: 1025px) and (max-width: 1280px)").matches) {
                layout = "desktop";
            } else if (window.matchMedia("screen and (min-width: 1281px)").matches) {
                layout = "xldesktop";
            }
                window.addEventListener('resize', setCSS, false);
                document.getElementById("test").innerHTML = layout;
                document.getElementById("mediaquery").href = 'assets/css/mq/device.'+layout+'.css';
        })();
        </script>

    </body>
</html>

最佳答案

您发布的代码中唯一可能导致 XSS 漏洞的部分是

document.getElementById("test").innerHTML = layout;

如果您正在设置 innerHTML 并且您的布局变量中有任何可以由用户控制的 HTML，那么这可能是一个攻击向量。但是，在这种情况下，layout 似乎是 mobile、tablet、desktop 或 xldesktop 之一。

如果您想包含任何用户集内容或来自不受信任来源的内容，您应该 HTML encode your output .在这种情况下，我不会接受接受的答案，因为它似乎不包含对于 XSS 预防必不可少的单引号或双引号字符，但 Anentropic 的答案将使您的输出在 HTML 上下文中安全输出。

function htmlEscape(str) {
    return String(str)
            .replace(/&/g, '&amp;')
            .replace(/"/g, '&quot;')
            .replace(/'/g, '&#39;')
            .replace(/</g, '&lt;')
            .replace(/>/g, '&gt;');
}

需要对引号字符进行编码，因为如果您输出到带引号的属性值，那么恶意用户可能会逃避此上下文。请注意，如果您输出到未加引号的属性值，那么您必须 escape all characters with ASCII values less than 256 except for alphanumeric characters .

另一种方法是使用 JQuery，您可以在其中设置 text属性而不是 html .

关于javascript - 代码摘录 : Does this create a vulnerability to XSS?，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/25853425/

26

4

0

文章推荐： javascript - Jquery 自动完成选择功能

文章推荐： ios - 将值从 UITableViewCell 传递到详细信息 View

文章推荐： html - 更改 CSS 图像幻灯片放映速度

c# - : test-create, try-create、create-catch 哪种设计最可取？
假设有一个创建用户的操作。如果存在指定的电子邮件或用户名，此操作可能会失败。如果它失败了，则需要确切地知道原因。在我看来，有三种方法可以做到这一点，我想知道是否有明显的赢家。所以，这是一个类用户:
javascript - Object.create 与 Object.create() 与 Object.create(null)
var obj1 = Object.create; console.log(typeof obj1); var obj2 = Object.create(null); console.log(type
getting this error after building the ts files yield User.create({ ^ TypeError: Cannot read properties of undefined (reading 'create')(在生成ts文件后获得此错误将产生User.create({^TypeError：无法读取未定义的属性(正在读取‘Create’)))
I am getting this error after running npm run build yield User.create({^在运行NPM Run Build Year Use
javascript - Object.create(Object.prototype) , Object.create(Object) 和 Object.create(null) 之间的区别
我应该为其他人将从中继承的第一个父对象传递哪个参数，哪个参数更有效 Object.create(Object.prototype) Object.create(Object) Object.creat
sql-server - SQL Server : Syntax near keyword 'CREATE' when batch executing CREATE SCHEMA and CREATE TABLE
我正在尝试使用 JDBC(最新版本)设置 SQL Server 2008 数据库。我有一个我想一起执行的 setup sql 命令列表: 基本上我做的是: connection.setAutoCom
amazon-web-services - AWS : create json template to create auto scaling group to create 2 EC2 instances
我正在尝试创建一个 CloudFormation 模板来创建一个 Auto Scaling 组，以便我可以从中启动 2 个实例。我已经创建了 Auto Scaling 组，但我不知道如何编写用于从
While creating loop carousel with elementor pro, "create a template" button does not allow me to create a template(当用elementor Pro创建循环旋转木马时，“创建模板”按钮不允许我创建模板)
我正在创建我的第一个WordPress网站。我已经在我的网站上安装了Elementor Pro插件。随之而来的一个有利因素是“循环旋转木马”。。。当我把它添加到我的页面时，一切似乎都在工作，但是当我点
create-react-app - create-react-app中的ENOSPC错误
create-react-app error 我从终端运行yarn start时收到此错误消息...我尝试了sudo killall node和许多其他过程来清除i-node却没有成功。我也将我的c
workflow - "Created On"和 "Record Created On"之间的区别
在 CRM 中，当我尝试设置工作流程时，我可以选择与某个实体的创建时间相关的超时。涉及三个字段。记录创建于创建于修改时间虽然最后一个很明显，但我看不出其他两个之间有任何逻辑上的区别。最佳答案
create-react-app - create-react-app创建的package.json中browserslist的意义是什么
我在一次采访中被问到这个问题。我无法回答。 "browserslist": [ ">0.2%", "not dead", "not ie <= 11", "not op_mini all" ] 我可以
ruby-on-rails - Rails .create() 与 controller#create
这是一个 Rails 新手问题: 当我在模型上调用 create() 时，它会绕过关联的 Controller create 操作吗？例如，这没有命中我的标签 Controller #create
oracle - CREATE TABLE 和 CREATE ANY TABLE 权限的区别
我不明白这两种特权之间的区别。我找到了这两种解释，但对我没有帮助。 CREATE TABLE -> Enables a user to create a table owned by that us
Sharepoint 工作流创建任务属性 : when to create fields and when to create depepndency properties?
我是 SharePoint 工作流的新手。创建新任务并分配 TaskId 时，我有两个选项: 创建一个新字段来保存 TaskId 创建一个新属性来保存 TaskId。新属性是一个依赖属性。我的问
delphi - TDataModule 后代 'created' 没有 .Create 但没有问题？
我突然注意到我们的代码库中有一个TDataModuleTestExchange(nil)“构造函数调用”: procedure TDialoogConfigExchange.ButtonTestCli
delphi - 我可以使用 .Create(Nil) 而不是 .Create(Application)
我有一个具有 TComponent 变量的单元，我在单元初始化时创建此组件，如下所示: var XComp: TComponent; . . . . initialization begin
php - Composer : Updating a Project Created with `create-project`
Composer 是否提供了更新项目创建时使用的包的方法？即，如果我使用以下内容创建一个新的 Laravel 项目 composer create-project --prefer-dist lara
java - hbm2ddl.auto= create/create-drop 也会删除数据吗？
在 Hibernate 中，如果我们将 hbm2ddl.auto 设置为 create/create-drop ，那么它将在启动时删除旧模式并创建新模式。这意味着，它也会删除数据？..我的疑问是，如果
Dockerhub Create Automated Build 步骤卡在“Creating”处
我使用了 create an Automated Build 中的此链接 ( this guide ) . 浏览器错误控制台显示: https://hub.docker.com/v2/reposito
sql - CREATE PROC 和 CREATE PROCEDURE 有什么区别？
我已经搜索了 msdn 并没有找到答案。我应该知道有什么区别吗？如果真的没有区别，那么为什么会存在这种冗余？ --SQL Server Stored Procedure Syntax CREATE
javascript - "create"指定主 "create"时不使用嵌套对象的 KO 映射选项
我有以下内容: var CardViewModel = function (data) { ko.mapping.fromJS(data, {}, this); this.editin

首页

博学

6Ren·AI

商城

javascript - 代码摘录 : Does this create a vulnerability to XSS?