个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
25
4
我正在开发一个 Web 框架，并尝试在其中构建 XSS 预防功能。我已经将其设置为转义传入数据以存储在数据库中，但有时您想保存用户生成的 html。我正在尝试创建一个自定义标记来阻止任何 JavaScript 执行，这是我的第一个 hack:
<html>
<head>
<script type="text/javascript" src="/js/jquery.min.js"></script>
</head>
<body>
<preventjs>
<div id="user-content-area">
<!-- evil user content -->
<p onclick="alert('evil stuff');">I'm not evil, promise.</p>
<p onmouseover="alert('evil stuff');">Neither am I.</p>
<!-- end user content -->
</div>
</preventjs>
<script type="text/javascript">
// <preventjs> tags are supposed to prevent any javascript events
// but this does not unbined DOM events
$("preventjs").find("*").unbind();
</script>
</body>
</html>
我尝试使用 jQuery 来解除所有内容的绑定(bind)，但它不会解除 DOM 中事件的绑定(bind)，而这正是我想要做的。是否可以取消绑定(bind) DOM 元素的所有事件？
最佳答案
您的问题是，您这样做的目的是错误的 - 您应该在收到潜在敌意内容时过滤所有用户输入。
执行此操作时的第一条经验法则是“始终列入白名单，从不列入黑名单”。不要在用户生成的 HTML 中允许任何和所有属性，而只需保留允许的属性列表，并在收到 HTML 时删除所有其他属性(可能在客户端 - 肯定在服务器端。)
哦，HTML 并不是一种常规语言。对于此任务，您需要使用 HTML 解析器，而不是正则表达式。
关于javascript 解除绑定(bind) dom 事件，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/7196003/
25
4
0
我正在尝试将 WPF CodeBehid 事件(如 Event、Handler、EventSetter)转换为 MVVM 模式。我不允许使用 System.Windows.Controls，因为我使用
我可能误解了 Backbone 中的事件系统，但是当我尝试以下代码时什么也没有发生。当我向 Backbone.Events 扩展对象添加新属性时，它不应该触发某种更改、更新或重置事件吗？就像模型一样吗
我遇到了一个简单的问题，就是无法弄清楚为什么它不起作用。我有一个子组件“app-buttons”，其中我有一个输入字段，我想听，所以我可以根据输入值过滤列表。 如果我将输入放在我有列表的根组件中，一切
System.Timers.Timer 的 Elapsed 事件实际上与 System.Windows.Forms.Timer 的 Tick 事件相同吗？ 在特定情况下使用其中一种比使用另一种有优势吗
嗨，这个 javascript 代码段是什么意思。(evt) 部分是如此令人困惑.. evt 不是 bool 值。这个怎么运作？ function checkIt(evt) { evt
我正在使用jquery full calendar我试图在事件被删除时保存它。 $('calendar').fullCalendar ({
我有两个链接的鼠标事件: $('body > form').on("mousedown", function(e){ //Do stuff }).on("mouseup", function(
这是我的代码: $( '#Example' ).on( "keypress", function( keyEvent ) { if ( keyEvent.which != 44 ) {
我尝试了 dragOver 事件处理程序，但它没有正常工作。 我正在研究钢琴，我希望能够弹奏音符，即使那个键上没有发生鼠标按下。 是否有事件处理程序？ 下面是我正在制作的钢琴的图片。 最佳答案 您应该
当悬停在相邻文本上时，我需要使隐藏按钮可见。这是通过 onMouseEnter 和 onMouseLeave 事件完成的。但是当点击另外的文本时，我需要使按钮完全可见并停止 onMouseLeave
我有ul标签内 div标签。我申请了mouseup事件 div标记和 click事件 ul标签。 问题 每当我点击 ul标签，然后都是 mouseup和 click事件被触发。 我想要的是当我点击 u
我是 Javascript 和 jQuery 的新手，所以我有一个非常愚蠢的疑问，请耐心等待 $(document).click(function () { alert("!"); v
我有一个邮政编码解析器，我正在使用 keyup 事件处理程序来跟踪输入长度何时达到 5，然后查询服务器以解析邮政编码。但是我想防止脚本被不必要地调用，所以我想知道是否有一种方法可以跟踪 keydown
使用事件 API，我有以下代码来发布带有事件照片的事件 $facebook = new Facebook(array( "appId" => "XXX", "se
首次加载 Microsoft Word 时，既不会触发 NewDocument 事件也不会触发 DocumentOpen 事件。当 Word 实例已打开并打开新文档或现有文档时，这些事件会正常触发。
我发现了很多相关问题(这里和其他地方)，但还没有具体找到这个问题。 我正在尝试监听箭头键 (37-40) 的按键事件，但是当以特定顺序使用箭头键时，后续箭头不会生成“按键”事件。 例子: http:/
给定的 HTML: 和 JavaScript 的: var $test = $('#test'); $test.on('keydown', function(event) { if (eve
我是 Node.js 的新手，希望使用流运行程序。对于其他程序，我必须同时启动一个服务器(mongodb、redis 等)，但我不知道我是否应该用这个运行一个服务器。请让我知道我哪里出了问题以及如何纠
我正在尝试使用 Swift 和 Cocoa 创建一个适用于 OS X 的应用程序。我希望应用程序能够响应关键事件，而不将焦点放在文本字段上/文本字段中。我在 Xcode 中创建了一个带有 Storyb
我有以下代码: (function(w,d,s,l,i){ w[l]=w[l]||[];w[l].push({
我是一名优秀的程序员,十分优秀！