从Javascript保护HTML表单/攻击

Question

我有一个表单，并且现在，您可以键入任何JavaScript等等。任何XSS等。

我该如何着手创建白名单，以便您只能发布字符。

在某一点上，我想任何与http://开始转换为

<a href="http://..."></a>

感谢

是这有效吗？ http://htmlpurifier.org/

Answer 1

的jQuery或JavaScript是首选

哦，不，你不能这样做，你看到了什么？因为即使你“消毒”使用JavaScript您的数据，没有人的距离

• 停止任何人关闭JavaScript的
• 使用浏览器的开发者控制台乱用数据
• 直接做POST，没有浏览器

换句话说，您必须在服务器端执行验证/清理。 Javascript验证可以提高用户的体验（例如，通过提供对无效输入的即时反馈）。

Answer 2

但是，在许多高负载应用程序开发人员使用部分客户端验证（但所有输入必须准备写入数据库）。因为你将使用PHP，我建议你用htmlspecialchars（），mysql_real_escape_string（）等解析你的$ _POST值。您必须使用正则表达式将任何以“http：//”开头的内容转换为链接（也可以使用explode（'。'，$ _POST ['yourInput']），这可以更容易为你）。