请问富文本编辑器提交到后端怎么防止XSS
平时我们使用的富文本编辑器,本质上是是把输入转化成html,如果我们直接提交到后端会造成XSS
请问后端一般是怎么防止xss的,比如现在的提问界面
如果你对这篇内容有疑问,欢迎到本站社区发帖提问 参与讨论,获取更多帮助,或者扫码二维码加入 Web 技术交流群。

绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱,如果其他用户或者作者回复了您的评论,将不能在第一时间通知您!
平时我们使用的富文本编辑器,本质上是是把输入转化成html,如果我们直接提交到后端会造成XSS
请问后端一般是怎么防止xss的,比如现在的提问界面
由于您还没有绑定你的真实邮箱,如果其他用户或者作者回复了您的评论,将不能在第一时间通知您!
接受
或继续使用网站,即表示您同意使用 Cookies 和您的相关数据。
发布评论
评论(9)
<img/src=x onerror=alert()><img/src=x onerror=alert()><img/src=x onerror=alert()><img/src=x onerror=alert()>
<img/src=x onerror=alert()><img/src=x onerror=alert()><img/src=x onerror=alert()><img/src=x onerror=alert()>
<img/src=x onerror=alert()>
<img/src=x onerror=alert()>
<script>
alert('dddd')</script>
alert('dddd')
可能发生xss的地方,如: img[src], script, a[href], [onclick,onmouse**] 等等。 通常我们通过正则处理掉绝大部分标签属性,保留的属性(src,class,href,style)等根据需求例如 src 判断正则是否满足 指定域名之类的, 不满足则视为恶意输入,移除。
xss 是用户输入再次展现在客户端时候发生的, 你需要在这之前处理。
如果展现的地方比较确定,可以考虑在客户端处理。
HTML转码/解码 自己查一下JS的方法