V2EX = way to explore
V2EX 是一个关于分享和探索的地方
Sign Up Now
For Existing Member Sign In
This topic created in 4645 days ago, the information mentioned may be changed or developed.
 |
1
cloudzhou Aug 12, 2013
现有的大多数框架是输出的时候encode，因为尽量保存原始输入信息。
|
 |
2
otakustay Aug 12, 2013
显然输出的时候encode才是正确的，假设一串输入是abc，你输入时进行encode变成xyz，随后有人告诉你现在新发现了一个XSS漏洞，其中xy字符是要encode的不然会出问题，请问你要怎么处理数据库中已经有了的数据？再encode一次的话输出就出错了，不encode的话输出又是XSS漏洞
|
 |
3
Mutoo Aug 12, 2013
输入防 SQL Injection，输出防 XSS
|
 |
4
lqs Aug 12, 2013
输出时。如果怕忘掉就选用一个默认自动encode的模板引擎。
|
 |
7
hxgdzyuyi Aug 13, 2013
输出吧。 要考虑数据可能要给移动端使用
|
 |
8
kelz Aug 13, 2013
关于xss的解决方案可参考freebuf的作者写的文章 http://www.freebuf.com/author/jiayzhan
|
Select Language