Санитарная обработка Javascript: самый безопасный способ вставки возможной строки XSS html

Question

В настоящее время я использую этот метод с решением jQuery, чтобы очистить строку от возможных атак XSS.

sanitize:function(str) { 
    // return htmlentities(str,'ENT_QUOTES'); 
    return $('<div></div>').text(str).html().replace(/"/gi,'&quot;').replace(/'/gi,'&apos;'); 
} 

Но у меня такое чувство, что оно недостаточно безопасно. Я что-то пропустил?

Я попытался htmlentities из phpjs проекта здесь: http://phpjs.org/functions/htmlentities:425/

Но это своего рода прослушивают и возвращает некоторые дополнительные специальные символы. Может, это старая версия?

Например:

htmlentities('test"','ENT_QUOTES'); 

Производит:

test" 

Но должно быть:

test" 

Как вы ее обработки с помощью JavaScript?

Answer 1

Если ваша строка должна быть простым текстом без форматирования HTML, просто используйте .createTextNode(text)/присвоение .data свойства существующего текстового узла. Все, что вы там ставите, всегда будет интерпретироваться как текст и не нуждается в дополнительном ускорении.

Answer 2

Вы должны цитировать другие символы тоже:. ' " < > ( ) ; все они могут быть использованы для XSS attacsk

Answer 3

Да динамически с помощью JavaScript Строка приходит из ненадежных. источник

Тогда вам не нужно санировать его вручную. С помощью jQuery вы можете просто написать

​var str = '<div>abc"def"ghi</div>​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​'; 

​$​('test').text(str); 
$('test').attr('alt', str); 

Браузер будет отделять данные от кода для вас.

Пример: http://jsfiddle.net/HNQvd/