xss - 防止 XSS 攻击

Question

我正在创建一个网页，用户可以在其中交互并在远程计算机上执行基本的文件系统操作(创建文件/目录、删除文件/目录、导航文件系统)。
该网页是基本的 HTML(UTF-8 编码)和 Javascript。我需要让这个网页 XSS 证明。

使用 Javascript(输出百分比编码的十六进制值)转义用户输入中的所有非字母数字字符(以防止基于 DOM 的 XSS)和文件名信息(以防止存储的 XSS)就足够了吗？

我基本上只将字母数字输入列入白名单。此外，由于我使用的是百分比编码的十六进制值，因此我假设不应该存在 UTF 编码漏洞。

谁能想到这个机制中的任何安全漏洞？

Answer 1

使用 javascript (这就是我认为你所说的)进行转义似乎不太安全。它在用户机器上运行，他们可以通过一些努力绕过转义机制。

您尝试做的事情听起来不错，但您需要在服务器端进行。