chrome v69.0.3497.81 加上res.set('X-XSS-Protection',0); 也拒绝访问
2018-09-12
<img src="null" onerror="alert(1)">
2018-08-16
最新回答 / weibo_耐猫儿_0
domParse.js=>https://github.com/blowsie/Pure-JavaScript-HTML5-Parser encode.js=>https://github.com/mathiasbynens/he
2018-08-06
<img src="null" onerror="alert('haha')"/>
2018-07-30
最新回答 / 朱青1900
今天在有的使用express -e . 的命令是，cmd给我报了一段不识别的错误，在网上查了一下，有人指出是express4的版本将命令工具分家了，所以需要我们安装以恶搞命令工具：命令如下：npm install -g express-generator 之后再次安装：npm install -g express 好了，没问题了。
2018-07-25
老师， 你好。 我个人的观点是 预防XSS不对用户的输入做转义， 只对接口返回的数据做转义处理， 使返回的脚本无法执行。
至于 style等这些标签 ， 肯定不能存在用户配置的入口
至于 style等这些标签 ， 肯定不能存在用户配置的入口
2018-07-16
<img src="null" onerror="alert(1)">
2018-07-15
style、script、inframe可以不用过滤，转义为实体就可以。慕课网也是这么做的。基本上前端这块只要考虑转义和过滤属性就可。再用第三方库做的白名单就可解决掉。个人而言了解这方面的原理和实现就可以，但是操作业务时需要第三方框架。毕竟攻击方式那么多，你自己写的拦截，不知道会有什么安全漏洞。
2018-07-01
最新回答 / qq_一米陽光
安装npm install ejs将app.js中的 app.set("view engine", "jade"); 改为
app.engine('.html', require('ejs').__express); app.set("view engine", "ejs");3.将views中的模板文件改成ejs文件就行了
2018-06-15
