回发后Javascript功能在Chrome浏览器中不起作用

Question

我在使用Chrome浏览器时遇到了一个问题。 它是一种在线捐赠形式。 用户可以选择贡献不同的金额。 该表格包含一些单选按钮，并提供其他捐赠金额的选项。 这种形式在IE和firefox中可以正常工作，但在Chrome上无法正常工作。 该问题似乎仅在回发中发生。 在回发javascript函数上，“ selectAmount”和“ selectOtherAmount”函数不起作用。 基本上在单选按钮的单击事件上，我正在调用上面的简单js函数。 Chrome似乎将其视为跨站点脚本和阻止。

在chrome调试器中，在回发时显示以下错误。

“ XSS审核程序拒绝在'myform.aspx？id = 12345'中执行脚本，因为在请求中找到了其源代码。由于服务器未发送'X-XSS-Protection而不是'Content-Security'，因此启用了审核程序-政策标题。”

这是我的代码

if (item[0] == "__OTHER__")  
{
    if (selectedValue == "__OTHER__")
    {
        amountLevels.Append("<tr><td><input type=\"radio\" name=\"levelamount-" + donationOption + "\" id=\"rbAmountOther-" + donationOption + "\" value=\"" + defaultOtherAmount.ToString("0.00") + "\" onclick=\"selectOtherAmount(this.value,'" + donationOption + "');\" checked=\"checked\"  /></td>");
    }
    else
    {
        amountLevels.Append("<tr><td><input type=\"radio\" name=\"levelamount-" + donationOption + "\" id=\"rbAmountOther-" + donationOption + "\" value=\"" + defaultOtherAmount.ToString("0.00") + "\" onclick=\"selectOtherAmount(this.value,'" + donationOption + "'); \"  /></td>");
    }
    amountLevels.Append("<td><input type=\"text\" id=\"txtAmountOther\" value=\"" + defaultOtherAmount.ToString("0.00") + "\" " + disabled + " onchange=\"selectOtherAmount(this.value,'" + donationOption + "');\" onkeypress=\"return isValidAmount(event);\" style=\"width:70px;\" />" + item[1] + "</td></tr>");
}
else if (string.Compare(selectedValue, item[0], true) == 0)
{
    amountLevels.Append("<tr><td><input type=\"radio\" id=\"rdbAmount-" + donationOption + index + "\" name=\"levelamount-" + donationOption + "\" value=\"" + amount.ToString("0.00") + "\" checked=\"checked\" onclick=\"selectAmount(this.value,'" + donationOption + "');\"></td><td>&nbsp;&nbsp;" + amountLabel + "</td></tr>");
    selectedAmount = amount.ToString("0.00");
}
else
{
    amountLevels.Append("<tr><td><input type=\"radio\" id=\"rdbAmount-" + donationOption + index + "\" name=\"levelamount-" + donationOption + "\" value=\"" + amount.ToString("0.00") + "\" onclick=\"selectAmount(this.value,'" + donationOption + "');\"></td><td>&nbsp;&nbsp;" + amountLabel + "</td></tr>");
}

Answer 1

可以通过在受影响的页面上发送非标准的HTTP标头X-XSS-Protection来禁用此“功能”。

X-XSS-Protection: 0

请参阅这篇文章： 拒绝执行JavaScript脚本。 在请求中找到脚本的源代码