jquery - 如何对 XSS 的 JSON/Ajax 响应进行编码？

Question

我有一个 ASP.NET MVC2 网站，该网站大量使用 Ajax 和 JSON 从数据库加载数据并填充 HTML。我希望能够对 JSON 对象进行编码，以便它将任何 HTML 呈现为文本而不是 HTML。我很惊讶没有找到太多讨论/明显的解决方案，因为这似乎是一个很大的潜在 XSS 问题。

我是否忽略了某些事情，并且有一种简单的方法可以做到这一点？或者我是否需要为此提出一个内部解决方案？如果我自己这样做，我应该在模型、 Controller 还是 jquery 中进行？

Answer 1

为了防止 XSS，请在 HTML 输出到 View 时对其进行编码。 JSON 中的数据应保持原始状态(JSON 编码除外，该编码应由 JSON 库自动完成)。

如果您使用 JavaScript 请求 JSON，然后将其中一些插入到文档中。使用 document.createTextNode(String) 从数据创建一个 textNode(它处理 HTML 中具有特殊含义的字符)，然后将该 textNode 插入到文档中。