javascript - 如何正确防范 JavaScript 的恶意输入？

Question

我有一个使用 node.js 构建的聊天客户端，我想知道在将消息发送到服务器之前应该如何输入消息？

Answer 1

什么都没有。您无法阻止客户端发送“不良”内容。验证和清理应该在服务器上完成。当向客户端显示它时，您应该对其进行清理/过滤/编码。

也许(客户端):

socket.on('message', function(e) {
  txt = e.data;

  // HTML encode
  txt = txt.replace(/&/g, '&');
  txt = txt.replace(/</g, '&lt;');
  txt = txt.replace(/>/g, '&gt;');

  // Or strip tags
  txt = txt.replace(/<[^>]+>/g, '');

  // Or create a text node
  node = document.createTextNode(txt);
});

You should read this on HTML encoding/escaping.