下面小編就為大家帶來一篇淺談html轉義及防止javascript注入攻擊的方法。小編覺得蠻不錯的，現在就分享給大家，也給大家做個參考。一起跟著小編過來看看吧
有的時候頁面中會有一個輸入框，使用者輸入內容後會顯示在頁面中，類似網頁聊天應用程式。如果使用者輸入了一段js腳本，比例：<script>alert('test');</script>,頁面會彈出一個對話框，或者輸入的腳本中有改變頁面js變數的程式碼則會時程序異常或達到跳過某種驗證的目的。那該如何防止這種惡意的js腳本攻擊呢？透過html轉義能解決這個問題。
一：什麼是html轉義？
html轉義是將特殊字元或html標籤轉換為與之對應的字元。如：< 會轉義為<> 或轉義為>像“<script>alert('test');</script>”這段字符會轉義為：“<script> alert('test');</script>」再顯示時頁面會將<解析為<,>解析為>,從而還原了用戶的真實輸入,最終顯示在頁面上的還是「< ;script>alert('test');”，即避免了js注入攻擊又真實的顯示了用戶輸入。
二：如何轉義？
1、透過js實作
#
//转义 元素的innerHTML内容即为转义后的字符
function htmlEncode ( str ) {
var ele = document.createElement('span');
ele.appendChild( document.createTextNode( str ) );
return ele.innerHTML;
}
//解析
function htmlDecode ( str ) {
var ele = document.createElement('span');
ele.innerHTML = str;
return ele.textContent;
}2、透過jquery實現
function htmlEncodeJQ ( str ) {
return $('<span/>').text( str ).html();
}
function htmlDecodeJQ ( str ) {
return $('<span/>').html( str ).text();
}3、使用
var msg=htmlEncodeJQ('<script>alert('test');</script>'); $('body').append(msg);
建議使用jquery實現，因為有更好的兼容性。
以上是淺談html轉義及防止javascript注入攻擊的方法的詳細內容。更多資訊請關注PHP中文網其他相關文章！
