檢查Javascript字符串是否為HTML代碼

Question

我有一個文本框和提交按鈕，用於發布內容和對HTML頁面的回復。 有什么辦法（除了檢查字符串開頭的子字符串是否為

    <h1>,<h2>,<h3>...,<script>,<style>,etc.

查看字符串在頁面上發布時是否會以不同的格式設置，以防止代碼注入？

謝謝

-扎克

Answer 1

顯示用戶數據時，應正確地將其編碼為html。 在javascript中，使用document.createTextNode(userData)並附加該節點，而不是使用innerHTML。 在PHP中，使用htmlentities 。

如果允許用戶使用任何html或格式，則應使用允許的標簽和屬性的嚴格白名單對他們進行處理，並將其他所有內容編碼為純文本。

因此，即使用戶確實輸入了<h1>stuff</h1> ，當對其進行正確編碼時，它也會以<h1>test</h1> 而不是html，因為它不會受到javascript注入的攻擊。