防xss攻击总结

原则

用户输入什么,数据库就存储什么.
在前端显示时,需要escape.

html标签的title属性也需要escape

看一个title属性未escape得例子:

html代码:

所以html标签的title属性也需要escape.
但是,如果使用jQuery的attr方法设置title,则不需要escape:

Js代码

setPreviewOrgFullName:function (orgFullName) {  
            if(orgFullName){  
                //去掉空格  
                orgFullName=Cjt.util.Format.trim(orgFullName);  
            }  
            var orgCutOffName = Util.omitTooLongString(orgFullName, this.config.truncationLength);  
            $('#preview_orgFullName').html(Cjt.escape(orgCutOffName)).attr('title', orgFullName);  
        }  

注意:如果使用jQuery设置title,则不需要escape,
否则需要对title进行escape
如果能够保证title没有双引号,则不管哪种情况,都不需要escape.

jstl escape

Html代码

title="<c:out value="${bbs.answer}" default="" escapeXml="true"/>"   

需要引入jstl的标签库:

Html代码

<%@taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>  
<%@ taglib prefix="fn" uri="http://java.sun.com/jsp/jstl/functions" %>1  
2  

如何实现企业名称超过14字符就截断

步骤:先截断,再escape
为什么呢?
如果先escape,那么字符串的长度就与原来不一致
js版本:

Js代码

var orgFullNameTmp = Util.omitTooLongString(orgName, me.config.truncationLength);  
                            $('ul.company-name').prepend(me.createOrgDom({  
                                orgId: resp.orgId,  
                                orgFullName: Cjt.escape(orgFullNameTmp),  
                                orgFullNameTitle: Cjt.escape(orgName)  
                            }));  

freeMark:

Html代码

<#if item.orgName=="">未命名企业                                                   <#else>                                                <#escape x as x?html>  
                                                            <#if item.orgName?length lt 15   >  
                                                                ${item.orgName}  
                                                                <#else>  
   ${item.orgName[0..13]}...  
    </#if>                                                  </#escape>  
                                                </#if>  

title escape:

Html代码

title="<#escape x as x?html>${item.orgName}</#escape>"  

jQuery中html,text方法

text 可以自动escape,所以不用手动escape,
text根据字面意思,就是不按照html解析,而是仅仅当做普通文本.
html()需要escape,因为html方法就是按照html来解析的.

Js代码

$('#agentNameP').html(xssTitle12).attr('title', agentFullName);  
            $('#preview_agentName').text(truncatTitle).attr('title', agentFullName);//预览的服务商  

原文链接：https://www.iteye.com/blog/hw1287789687-2315651