任何所見即所得編輯器與XSS攻擊預防？

Question

我已經使用所見即所得的編輯器比我記得更多。在這種編輯器中輕鬆地粘貼一個JavaScript，使其成爲XSS攻擊的坐姿。

任何一個知道的任何所見即所得的編輯器比使用XSS防治結合？

歡迎提供解決方案和建議。

Answer 1

一個所見即所得的編輯器是所有客戶端（除非它與一些服務器組件，這將是平臺的具體一起打包）。您無法防範來自客戶端的用戶攻擊;用戶可以跳過編輯器並在HTTP請求中正確發佈他們的XSS。

你永遠要扔掉的輸入或存儲階段的信息。當您將用戶輸入退回時，您爲防止XSS所做的一切都應該發生。最簡單的方法是簡單地編碼一切。很顯然，在像Stackoverflow這樣的網站上，最終需要將一些用戶輸入寫入標記，因此需要首先對其進行清理。

如果我們知道一些更多關於你所使用的平臺，我們也許可以推薦一些經過充分測試，驗證庫，你所需要的。