Sanitizzazione Javascript: il modo più sicuro per inserire la stringa XSS html possibile

Question

Attualmente sto utilizzando questo metodo con la soluzione jQuery, per pulire la stringa da possibili attacchi XSS.

sanitize:function(str) { 
    // return htmlentities(str,'ENT_QUOTES'); 
    return $('<div></div>').text(str).html().replace(/"/gi,'&quot;').replace(/'/gi,'&apos;'); 
} 

Ma ho la sensazione che non sia abbastanza sicuro. Mi manca qualcosa?

ho cercato htmlentities da phpjs proiettare qui: http://phpjs.org/functions/htmlentities:425/

ma è un po ostacolate e restituisce alcuni simboli speciali supplementari. Forse è una vecchia versione?

Ad esempio:

htmlentities('test"','ENT_QUOTES'); 

produce:

test" 

ma dovrebbe essere:

test" 

Come stai manipolazione di questo tramite JavaScript?

Answer 1

Se la stringa deve essere un testo normale senza formattazione HTML, è sufficiente utilizzare .createTextNode(text)/assegnando alla proprietà .data del nodo di testo esistente. Qualsiasi cosa tu metta, sarà sempre interpretata come testo e non necessita di ulteriori fughe.

Answer 2

Si dovrebbe citare altri personaggi anche:. ' " < > ( ) ; Tutti possono essere utilizzati per XSS attacsk

Answer 3

Sì dinamicamente utilizzando JavaScript Stringa viene da non attendibile. fonte

Quindi non è necessario disinfettarlo manualmente Con jQuery è sufficiente scrivere

​var str = '<div>abc"def"ghi</div>​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​'; 

​$​('test').text(str); 
$('test').attr('alt', str); 

Il browser separerà i dati dal codice per te.

Esempio: http://jsfiddle.net/HNQvd/