<>Never useeinski(<>/code>. 它与超文本编码无关。 它更像URL-encoding,但甚至不适当。 它是 only本仅有的一条荒.。

function encodeHTML(s) {
    return s.replace(/&/g,  &amp; ).replace(/</g,  &lt; ).replace(/"/g,  &quot; );
}

然而,虽然这足以在<条码>输入值等地方将<条码>用户_id贴上<条码>,但这还不够。 由于身份证只能使用有限的特性选择。 (And % isn t among them, so einski ( or Even encodeURIComponent ( is no good.)

您可以发明自己的编码计划,将任何特性列入一个身份证,例如:

function encodeID(s) {
    if (s===  ) return  _ ;
    return s.replace(/[^a-zA-Z0-9.-]/g, function(match) {
        return  _ +match[0].charCodeAt(0).toString(16)+ _ ;
    });
}

但是,如果同一<条码>用户_id发生两次,则你会遇到一个问题。 坦率地说,扔在超文本上的做法通常是一种坏的想法。 而是使用DOM方法,并保留对每个要素的Java式字句,因此,你不必继续使用getElementById,或者担心如何将任意扼杀列入ID。

例如:

function addChut(user_id) {
    var log= document.createElement( div );
    log.className=  log ;
    var textarea= document.createElement( textarea );
    var input= document.createElement( input );
    input.value= user_id;
    input.readonly= True;
    var button= document.createElement( input );
    button.type=  button ;
    button.value=  Message ;

    var chut= document.createElement( div );
    chut.className=  chut ;
    chut.appendChild(log);
    chut.appendChild(textarea);
    chut.appendChild(input);
    chut.appendChild(button);
    document.getElementById( chuts ).appendChild(chut);

    button.onclick= function() {
        alert( Send  +textarea.value+  to  +user_id);
    };

    return chut;
}

您还可以利用便利职能或联合材料框架来缩短该电话的安装时间。

ETA:

I m 此时利用 j作为框架

OK, then consider the jQuery 1.4 creation shortcuts, 例如:

var log= $( <div> , {className:  log });
var input= $( <input> , {readOnly: true, val: user_id});
...

我现在要问的是,我用“JP”来增加一页的内容和事件,因此我无法知道在发出信息之前已经存在的内容。

您可以将<条码>用户_id 留到 Java本的元素节点(或包装物体),以避免将这种信息列入OMM本身,而该密码中所含的特性受到限制。

var chut_lookup= {};
...

function getChut(user_id) {
    var key=  _map_ +user_id;
    if (key in chut_lookup)
        return chut_lookup[key];
    return chut_lookup[key]= addChut(user_id);
}

(_map_ prefix is因为Javagust Object do not t quite work as amap of arbitrary strings. 空洞,在电离层中,有一些<编码>Object 成员名称,将其编成。

你们可以这样做:

function sanitize(string) {
  const map = {
       & :  & ,
       < :  &lt; ,
       > :  &gt; ,
       " :  &quot; ,
      " ":  &#x27; ,
      "/":  &#x2F; ,
  };
  const reg = /[&<>" /]/ig;
  return string.replace(reg, (match)=>(map[match]));
}

另见HOWASP 。 XSS Prevention Cheat Sheet 。

var ESC_MAP = {
     & :  & ,
     < :  &lt; ,
     > :  &gt; ,
     " :  &quot; ,
    " ":  &#39; 
};

function escapeHTML(s, forAttribute) {
    return s.replace(forAttribute ? /[&<> "]/g : /[&<>]/g, function(c) {
        return ESC_MAP[c];
    });
}

详情见Fool RUS escaping in Javascript 。

http://www.owasp.org/index.php/XSS_(Cross_Site_casting)_Prevention_Cheat_Sheet#RULE_.233_-_Javagust_Einski_Before_Inserting_Untrusted_Data_into_spanish_Java /Data_Values

预防特别安全局的以下做法是好的解决办法。

var sanitizeHTML = function (str) {
    return str.replace(/[^w. ]/gi, function (c) {
        return  &#  + c.charCodeAt(0) +  ; ;
    });
};

这方面的一个例子是:

var sanitizeHTML = function (str) {
    return str.replace(/[^w. ]/gi, function (c) {
        return  &#  + c.charCodeAt(0) +  ; ;
    });
};

var app = document.querySelector( #app );
app.innerHTML = sanitizeHTML( <img src="x" onerror="alert(1)"> );

<div id="app">
        
</div>

这一解决办法是。