XSS和CSRF防御的经典策略

XSS防御

1、页面端防御

页面端的XSS防御的方法，主要是针对输入和输出。

一般是在输入的时候进行校验，输出的时候进行转义。

 

输入端的校验：

所有能输入的数据，都要列为不可信的数据。在逻辑处理或者存储之前，都要进行校验。

校验的规则尽可能采用白名单而不是黑名单，比如只允许哪些字符，其他字符则一律不通过。

 

输出端的转义：

主要是对准备输出到html的字符进行转义。特别是用了v-html的地方。

这里的经典做法是，对特定字符进行html编码转义。

 

具体可参考下面的代码：

 

详情请查看： XSS和CSRF防御的经典策略