javascript - 通过 javascript 将用户可输入的文本存储到隐藏表单中是否危险？

Question

在我的 asp.net MVC 应用程序中，我使用就地编辑器来允许用户在没有标准表单 View 的情况下编辑字段。不幸的是，由于我将 Linq to Sql 与我的数据映射层结合使用，我不能一次只更新一个字段，而是需要一次发送所有字段。

所以我想到的解决方案是将我所有的模型字段存储到隐藏字段中，并提供包含可见数据的跨度标签(由于我的 jquery 插件，这些跨度标签变得可编辑)。当用户触发保存他们对字段的编辑时，jquery 然后获取他们的值并将其放置在隐藏表单中，并将整个表单发送到服务器以通过 ajax 提交。

当数据最初进入隐藏字段(页面加载)并进入 span 标签时，数据被正确编码，但是当用户更改 contenteditable span 字段中的数据时，我只是运行

$("#hiddenfield").val($("#spanfield").html();

我会用这种方法打开任何漏洞吗？显然，服务器也在数据库输入之前正确地编码了东西。

Answer 1

假设您的服务器能够正确检测和处理 XSS 尝试，恶意用户就不可能为其他用户提交攻击。除非有人想破解自己(？)，否则它对我来说似乎很安全。