XSS при отображении json для пользователей

Question

Я получаю некоторые данные в формате JSON через jQuery, а затем мне нужно отображать его для пользователей, однако он уязвим для атаки XSS. Каковы мои варианты здесь, следует ли мне линять символы перед тем, как поместить данные в базу данных? Рамки, которые я использую (Kohana), имеют отличную функцию HTML::Chars();, но поскольку я показываю данные с помощью javascript, я не могу ее использовать.

Один из вариантов заключается в том, чтобы пройти через каждый элемент, который кодируется json и применяет HTML::Chars(); к нему. Это единственный вариант, и если да, то каким будет оптимальный способ сделать это?

Пример:

1. Пользователь вводит некоторые данные: title, body
2. данные хранятся в базе данных
3. Затем какой-либо другой пользователь вводит сайт, массив данных берется из базы данных и экспортируются в формате JSON
4. Сценарий jQuery берет json и добавляющий новый элемент к телу моей страницы.

Код:

$(document).ready(function(){ 
    $.ajax({ 
     url: '/timeline/latest/1', 
     dataType: 'json', 
     success: function(data){ 
      $.each(data, function(key, val) { 
       switch (val.type){ 
        case 'post': // I have only made post so far 
         addPost(val); 
         break; 
       } 
      }); 
     } 
    }); 
}) 
function addPost(val){ 
    $('.content .timeline').prepend(val.title + '<br />' + val.body); // xss vulnerable 
} 

Получение данных из базы данных

<?php 

class Controller_Timeline extends Controller{ 
    public function Action_Latest(){ 
     $parentID = $this->request->param('id'); 
     $modelTimeline = new Model_Timeline(); 

     // Here I get latest entries, big array 
     $latest = $modelTimeline->Latest($parentID); 

     // Response it and encode with JSON 
     $this->response->body(json_encode($latest)); 
    } 
} 

Мое решение до сих пор это, прежде чем я эхо из за $ последней я пройти через массив и применять анти-XSS Однако я не знаю, насколько это оптимально:

array_walk($latest, function(&$latest){ 
    foreach ($latest as &$key){ 
     $key = HTML::chars($key); 
    } 
}); 

Последний вопрос

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.

 Смежные вопросы

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.