security - 如果我将所有 '<' 替换为 '<' ，我的站点是否免受 XSS 攻击？

Question

我想知道让网站免受 XSS 影响的最低限度是什么是。

如果我简单地替换 <与 <在所有用户提交的内容中，我的网站是否安全 XSS ?

Answer 1

很大程度上取决于上下文。

此外，编码少于 only 不是一个想法的闪光。您应该对所有具有特殊含义且可用于 XSS 的字符进行编码...

<

>

"

'

&

对于编码小于无关紧要的一个简单示例是这样的......

Welcome to Dodgy Site. Please link to your homepage.

恶意用户输入...

http://www.example.com" onclick="window.location = 'http://nasty.com'; return false;

这显然变成了……

<a href="http://www.example.com" onclick="window.location = 'http://nasty.com'; return false;">View user's website</a>

如果您编码了双引号，则该攻击将无效。