java - XSS 预防，最少实现

Question

在我们的项目中，为了防止 XSS，我们添加了过滤器 (HttpServletFilter)，它可以简单地转义 Json 中所有出现的“<”和“>”(包装用户输入)，例如:

json = json.replace("<", "&lt;").replace(">", "&gt;");

问题是:以上足以保证XSS永远不会发生吗？

或者(换句话说)您能否提供会在我们的系统中导致类似 XSS 行为的用户输入示例？

更新:由于一些有用的答案，我了解到，如果用户输入用作 href 属性的源或直接在 JavaScript 中使用，XSS 仍然可能存在。例如。如果三角括号已经出现在潜在用户输入外观周围的位置。

但我们从不以这种方式使用用户输入数据。还有其他建议吗？

Answer 1

简短回答:不，这还不够

请阅读OWASP XSS Prevention Cheat Sheet这解释了 XSS 可能发生的不同环境。