027 跨站脚本攻击

Cross Site Scripting

Another common security issue is cross site scripting. In this episode you will see why it is so important to escape any HTML a user may submit.

 

另一个常见的安全性问题就是跨站脚本攻击。这节来看一下为什么屏蔽用户提交的html的重要性。

 

例：

如果不屏蔽html，在某论坛发表comment

Testing <script>alert('test')</script>

 

很明显，如果不屏蔽，每次刷新页面都会将这段js代码执行一次

 

或者这样

Got your cookies!<script>alert(document.cookie)</script>

都是具有攻击性的script

解决方法很简单，对需要屏蔽HTML代码的地方加上h

譬如<%= h(comment.content)%>

还有sanitize也可以实现，但是不推荐

 

另外一种方式就是在存入数据库之前就屏蔽掉某些html标记：

在controller中

def create

   CGI::escapeHTML(...)

end

本文转自 fsjoy1983 51CTO博客，原文链接：http://blog.51cto.com/fsjoy/131903，如需转载请自行联系原作者