jquery - jQuery 的 $ 是否可以免受 XSS 攻击？

Question

在 jQuery 中:

$('<script>alert("foo");</script>')
// nothing shows up 

// wrap it in a <p> 
$('<script>alert("foo");</script>').wrap('<p>')
// oh no, an alert just popped up. 

$('any stringwhatsoever') 是否能够使 JavaScript 在任何浏览器上执行？

Answer 1

没有 $ 不是 XSS 安全的。

您可以使用此技巧注入(inject)任意 JavaScript。

$("<img src=x onerror=alert(/xss/.source)>")