javascript - 我该怎么做才能防止在数组中插入代码？

Question

就我的 Template.JS 而言，它具有数组和克隆的强大功能，我担心黑客可能会将恶意脚本输入到数组中，并使用他们的恶意数据条目创建另一个克隆框。如何防止有人将恶意数据输入阵列？

这是我对框的克隆以及数组数据和“功能”按钮的摆弄。

https://fiddle.jshell.net/NitroXAce/d1qro5g3/14/

如果我可以输入一个插件或脚本来防止恶意数据进入数组，那就太棒了!我知道有些事情你不能在输入中插入代码。但我担心任何浏览器中的 console.log 可能会干扰...？

Answer 1

假设数据来自您的服务器而不是用户输入，那么“黑客”能做的最糟糕的事情就是破解他们自己的浏览器。没什么意义。

话虽如此，您不应该使用内联事件处理程序。

理想情况下，您应该将 HTML 传递给加载到 DOM 中(有些人认为使用 createElement 等构建它会更好)并将事件处理程序附加到包含元素 - 即.使用事件委托(delegate)。

但那是实现细节。您问题的关键答案是 - 假设数据来源可信(即没有用户生成的数据) - 那么您无需担心“恶意”用户可能输入的内容。收到表单提交时，您的服务器应验证发送的任何内容以确保它有意义。