XSS攻擊

XSS攻擊方式不少,今天看了,而後作了個測試.

在本身的項目中,資源上傳,在公司名稱那裏,我填寫的是  <span style="color:red">小飛機實業</span>

在列表顯示中,直接顯示紅色的字體.若是我插入的是段攻擊性的 js 代碼,因爲後臺沒有過濾,只要誰瀏覽了這個頁面,並且恰好看到個人公司,那麼就會被攻擊.

仔細想了下,要預防也能夠,把數據進行過濾,把 html 代碼過濾掉就能夠了.就是可能耗時會增長,畢竟不少值都要用正則去匹配過濾.並且不僅僅是後臺,前端那裏也須要過濾.世上無十全十美的事情,又要安全,又要快捷.總要有所取捨.

百度貼吧是這麼過濾的: