javascript - 如果没有其他用户看到它，则呈现未转义的用户输入是否安全？

Question

有一个网页有 <textarea> 。

您可以在 <textarea> 中输入任何文本如果您点击“提交”，您输入的任何内容都会呈现在屏幕上。如果您输入<script>alert('hello')</script>然后点击提交您就会收到该警报。

网页不存储键入的文本，因此您的输入无法在其他客户端(其他用户的浏览器)上呈现。

所描述的行为是否会给网页所有者或其用户带来安全风险？

Answer 1

由于您已经标记了此 php，因此可能会将表单提交到服务器端脚本，然后将输入呈现回来。这使您容易受到 reflected XSS attacks 的攻击。 .

<!-- on a third party site -->
<form action="http://example.com/your_script" method="post">
<input type="hidden" name="your_field" value="attack payload">
</form>
<script>document.forms[0].submit();</script>

<小时/>

如果情况并非如此，并且内容是使用客户端 JavaScript 添加到页面的，并且从不从 HTTP 请求中读取内容，那么它仍然容易受到鼓励人们“只需将其复制/粘贴到文本区域!”的攻击。 ”。