JavaScript 非持久性安全问题

Question

尽管我有偏执狂，但我从来没有真正抽出时间来更多地了解网络安全，所以我的知识匮乏让我对此有些困惑。

示例:假设您有 2 个文本框，都用于用户输入。

用户在这两个文本框中输入他们想要的任何内容并单击一个按钮，该按钮然后使用一些 JavaScript 连接这两个文本框中的任何内容并将其显示在一个 div 中。

我的问题是，在这种情况下，由于它使用的是 JavaScript 客户端，您是否真的需要清理用户输入？

如果它输出到文本框而不是 div 会怎么样？还是作为警报？

我知道当涉及到表单/PHP 时，您总是希望净化输入，但我对 JavaScript 安全预防措施并不十分熟悉。

据我了解，由于这是客户端，并且服务器没有保存任何数据，因此无论用户做什么(试图输入一些恶意代码或诸如此类)都不会影响除该用户以外的任何人，正确的？

Answer 1

不，这不是安全问题。原因是因为攻击者必须强制受害者的浏览器进行此操作才能使其成为 XSS。

但是，如果您从 document.location 中获取输入，然后使用 document.write() 将其打印到页面，那么这是 DOM based XSS .但这是一种非常不常见的 XSS 形式。