javascript - XSS - 可以通过删除 "<"来清理用户输入吗？

Question

在前端是否可以通过删除<来捕获所有XSS攻击来自用户内容？这似乎是禁用恶意代码的简单方法，目前我没有需要 < 的用例。予以保存。这在所有情况下都有效吗？

我显示用户内容的方式始终是内部 html，例如

<div>{USER CONTENT}</div>

Answer 1

取决于您使用用户输入的位置。

如果您在 a href= 中使用它，那么:不!

<a href="{{linkFromUser}}">

然后可能是 javascript:alert('oh no');

如果在页面上下文中按下链接，浏览器将执行它。