V2EX › Forviler 的所有回复 › 第 3 页 / 共 4 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 2 3 4

❮

❯

296 天前

回复了 Forviler 创建的主题 › 职场话题 › 关于工作抉择上的事，向各位老哥求个意见

@jamel 人菜，没办法，我也有点懒得上进，都在混日子

297 天前

回复了 CHEN1016 创建的主题 › Apple › apple music 一段时间断续了，重新开通怎么歌单没有了

重新订阅后发现歌单没了，就直接又反手取消订阅了

323 天前

回复了 shaonian 创建的主题 › 分享创造 › 做了三个红包封面，分享给大家啦

新年快乐，感觉

335 天前

回复了 jaaaaaa 创建的主题 › 职场话题 › 2024 年放假通知，想看看大家的，看谁除夕还在公司包饺子

日历怎么说，公司怎么做

345 天前

回复了 leeolsen 创建的主题 › 旅行 › 🏴󠁧󠁢󠁳󠁣󠁴󠁿英国苏格兰高地自驾旅行记录

感觉 op 的文笔很不错，感谢分享

359 天前

回复了 YGBlvcAK 创建的主题 › 健康 › 强烈安利一款口腔溃疡凝胶， 10 年+经验

投一点灵一票，瞬间见效（除了点的时候有点难顶，麻了就结束了）

2023-12-08 16:44:05 +08:00

回复了 Forviler 创建的主题 › JavaScript › 今天被测试发了一个 xss 漏洞，之前明明做过 xss 过滤的，很纳闷的看了一下

@onice #37 听起来好像是实体编码是确保用户输入的不会被当作代码来进行解析这个意思；

那么我使用富文本的时候是必须要将数据当作代码来进行解析的，所以是不能进行实体编码的操作的么，因为浏览器会把它当作文本来显示

2023-12-08 11:12:59 +08:00

回复了 Forviler 创建的主题 › JavaScript › 今天被测试发了一个 xss 漏洞，之前明明做过 xss 过滤的，很纳闷的看了一下

@onice 没看明白，转为实体编码我只知道一些 < 转为 < 之类的不知道如何实现预防的，英文的翻过来没看太懂，

发现了新的问题

document.getElementById('rf').innerHTML= `<img/src=1 >` ; edge 下会显示为文本
document.getElementById('rd').innerHTML = `<img/src=1 >`; edge 下显示为标签

不过 v-html 都会显示为标签

我再研究研究实体编码

2023-12-08 10:35:33 +08:00

回复了 Forviler 创建的主题 › JavaScript › 今天被测试发了一个 xss 漏洞，之前明明做过 xss 过滤的，很纳闷的看了一下

@a632079 #31 你是用我那段代码测的么，我那段尖括号是中文的，换成英文我测是可以过滤掉我说的这种情况的

2023-12-07 17:30:23 +08:00

回复了 Forviler 创建的主题 › JavaScript › 今天被测试发了一个 xss 漏洞，之前明明做过 xss 过滤的，很纳闷的看了一下

@Granado 前端网关处理是指什么，ajax 请求拦截器里做参数处理？没想过这样做，感觉不如在使用 innerHTML 的时候做处理要简单

2023-12-07 09:21:07 +08:00

回复了 Forviler 创建的主题 › JavaScript › 今天被测试发了一个 xss 漏洞，之前明明做过 xss 过滤的，很纳闷的看了一下

@lneoi 全是英文，我英文太差，回头翻译一下研究研究

2023-12-07 09:17:53 +08:00

回复了 Forviler 创建的主题 › JavaScript › 今天被测试发了一个 xss 漏洞，之前明明做过 xss 过滤的，很纳闷的看了一下

@LeeReamond 加了 / 的话 js-xss 不会把这个 tag 识别为 img 识别出来的 tag 名是 img/src ，但是浏览器会自动把 / 替换成空格，从而被当作 img 执行