javascript - jQuery 前置安全

Question

这是一个菜鸟问题，如果我有一个不在任何地方提交的文本区域......

 <form onsubmit="return false;">
      <textarea name="new_title_text" id="new_title_text"></textarea>
 </form>

我使用 jQuery 将 textarea 的值添加到一个 div 中...

var textValue = $('#new_title_text').val()
$('#myDiv').prepend('<div>' + textValue + '</div>');

这是否存在任何安全漏洞？有人能以某种方式注入(inject) JavaScript 并执行 XSS、CSRF 或任何其他类型的攻击吗？我知道一旦我将值提交到我的服务器就需要对其进行检查，但是在提交之前是否会发生任何事情？

提前致谢!

Answer 1

基本上，您不能相信任何在客户端完成的验证，因为人们可以(很容易)绕过 JavaScript 验证。

在您的服务器上进行适当的验证和清理，让客户端验证只是为了用户体验，而不是用明显无效的数据“打扰”您的服务器 - 例如需要值的空字段。

---

除非您让您的用户提交一些 PHP 代码或 JavaSctipt 代码以在您网站的其他地方执行，否则您应该是安全的。永远记住不要信任来自用户的任何数据。将所有传入数据视为潜在威胁，如果您打算以后使用它，请清理您处理的任何内容。