当资料里含有JavaScript，在向页面输出时如何禁止其执行

Question

我们用jquery-datatable渲染一张table，拿到的资料，其中有一列的内容会碰到类似：8080::HTTP/1.1 200 OK | <script>window.location.href = "http://example:8080/a.asp";</script>在渲染的时候浏览器就会执行脚本，页面发生跳转。要如何做可以防止运行JavaScript，解决安全隐含？

Answer 1

function xssText(str) {

    var s = "";

    if (str.length == 0) return "";

    s = str.replace(/&/g, "&amp;");

    s = s.replace(/</g, "&lt;");

    s = s.replace(/>/g, "&gt;");

    s = s.replace(/ /g, "&nbsp;");

    s = s.replace(/\'/g, "&#39;");

    s = s.replace(/\"/g, "&quot;");

    s = s.replace(/\n/g, "<br>");

    return s;

}

xssText('<script>window.location.href = "http://example:8080/a.asp";</script>')

Answer 2

常见的安全问题，专业术语XSS，可以搜一下相关文章。

这里简单解决就是做html转义，把&<>等特殊字符转掉。

& -> &amp;

< -> &lt;

> -> &gt;

Answer 3

在向页面输出时如何禁止其执行

尽量在输入的时候做字符串转义或者直接验证不通过，一份资料添加只有一次，而访问就不知道多少次了。