javascript - 有什么方法可以在 JavaScript 中卡住 document.body.innerHTML 吗？

Question

有什么方法可以在 JavaScript 中卡住 document.body.innerHTML 从而使攻击者无法执行以下操作:

<script>document.body.innerHTML = document.body.innerHTML.replace("http://www.example.com/" , "http://abc.org" ); </script>

还有如何卡住 document.location？谢谢!

Answer 1

不，您不能从 javascript 锁定 DOM 元素的内容。我怀疑你在这里问错了问题。您可能需要做的是首先堵塞攻击者用来运行代码的任何漏洞。

• 净化用户输入以去除标签
• 清理从数据库插入页面的内容
• 禁止在您的应用程序的任何输入中使用 html 标签

这些将是一个很好的起点。