XSS 验证、预防还是治疗？
我正在尝试制作一个防黑客网站并学习 XSS。所以流程是
A：获取用户输入-> B：存储它-> C：再次向客户显示，
我正在使用 Microsoft AntiXSS 库来避免 XSS 攻击，但是，令人困惑的是，我是否应该在步骤“B”或步骤“C”执行所需的步骤来避免 XSS 攻击。
I am having hands on trying to make a hack-proof website and learning about XSS. So the process is
A: Get User Input -> B: Store It -> C: Show It Again To client
I am using Microsoft AntiXSS library to avoid XSS attacks, but, the confusion is, should I perform required steps to avoid XSS attacks at step 'B' or at Step 'C'.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
您应该在呈现内容时执行清理工作，因为这是唯一重要的点。
在更复杂的场景中，您的数据流可能如下所示：
如果您已经对 B 点的数据进行了清理，那么 D 点的处理将无法对原始数据进行操作。
You should perform the sanitisation at the point where you are presenting the content, because this is the only point where it matters.
In a more complicated scenario, your data-flow may look like this:
If you've already sanitised the data at point B, then the processing at point D won't be able to operate on the original data.