如何编码剑道编辑器字段？

Question

我正在使用剑道编辑器。如果我写入任何html数据，如：<img src=x onerror=alert(0) >作为输入。脚本正在执行。意味着剑道编辑器不安全。我如何在客户端编码值？

在此先感谢。

Answer 1

我不认为这里的问题是如此之多，以至于Kendo编辑器不安全，更多的是JavaScript片段首先将它放到了页面上。

在初始化时，Kendo编辑器只是将输入值逐字复制并在编辑器中包含的iFrame中使用它，因此脚本会执行。

通常，您将在显示之前对用户内容服务器端进行编码/清理。这是您的网站生成HTML页面，因此您可以完全控制输出，并且需要确保潜在危险的值不会首先添加到输入值中。

这可能是值得看看Microsoft's AntiXSS offering。