页面输出时用 js 转义替换字符串中的 script 标签，防止 XSS

最新推荐文章于 2023-04-19 17:47:41 发布

haojiliang

最新推荐文章于 2023-04-19 17:47:41 发布

阅读量4.4k

点赞数 1

CC 4.0 BY-SA版权

分类专栏：网站前端 SEO 文章标签： js replace xss javascript

本文链接：https://blog.youkuaiyun.com/iaiot/article/details/79267334

网站前端 SEO 专栏收录该内容

9 篇文章

订阅专栏

本文介绍了一种使用JavaScript来防止XSS攻击的方法。通过创建DOM元素并利用innerText或textContent属性进行编码，可以有效避免XSS注入风险。此外，还展示了如何通过正则表达式替换特定的HTML标签。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

  function stringEncode(str){
      var div=document.createElement('div');
      if(div.innerText){
          div.innerText=str;
      }else{
          div.textContent=str;
      }
      return div.innerHTML;
  }

https://blog.iaiot.com/js-xss.html

tblStr = tblStr.replace(/<script>/gi, stringEncode("<script>"));
// 替换字符串变量或者结束标签这样写
tblStr = tblStr.replace(new RegExp("</script>",'gi'), stringEncode("</script>"));
$('#search-result').append(tblStr);

其中g表示全文替换，i表示忽略大小写；