javascript - 使用javascript在客户端清理用户输入

Question

我已经在我的服务器端处理清理，任何不正确的输入文本，如 <script>alert('hi')</script>可以妥善处理。但是因为我也使用 websocket 传递数据，所以如果用户发送，这部分就会被破坏

<script>alert('hi')</script>

我找到了 encodeURIComponent 但与 encodeURI 混淆了，哪个用于客户端的 xss 处理？

Answer 1

对于 XSS 清理，请查看 Yahoo 的 xss-filters图书馆或 DOMPurify .

这里是一个使用 DOMPurify 的例子:

var input = document.getElementById('input'),
    result = document.getElementById('result'),
    button = document.getElementById('button').addEventListener('click', function(){
      // Sanitize
      var clean = DOMPurify.sanitize(input.value, {SAFE_FOR_TEMPLATES: true});

      result.innerHTML = clean;
      console.log(clean);
    });

<script src="https://cdnjs.cloudflare.com/ajax/libs/dompurify/0.8.4/purify.min.js"></script>

<input type="text" id="input"> 
<button id="button">Send</button>
<p id="result"></p>