关于 XSS 防范的一些思考

    <div>{user_input}</div>

    def escape_html_text(string):
	return string.replace('&', '&amp;').replace('<', '&lt;')

    function escape_html_text(string) {
	return string.replace('&', '&amp;').replace('<', '&lt;');
}

    <input value="{user_input}">

    <input value=`{user_input}`>

    <input value={user_input}>

    import re

escape_pattern = re.compile(r'[&<>"\']')
escape_map = {
	'&': '&amp;',
	'<': '&lt;',
	'>': '&gt;',
	'"': '&quot;',
	"'": '&apos;'
}

def replacer(match):
    return escape_map[match.group(0)]

def escape_html_attr(string):
    return escape_pattern.sub(replacer, string)

    var escape_map = {
	'&': '&',
	'<': '&lt;',
	'>': '&gt;',
	'"': '&quot;',
	"'": '&#x27;'
};
function replacer(char) {
	return escape_map[char];
}
function escape_html_attr(string) {
	return string.replace(/[&<>"']/g, replacer);
}

    <img src="{user_input}">
<a href="{user_input}">{user_input}</a>
<button onclick="{user_input}">
<link ref="{user_input}" href="{user_input}">
<script src="{user_input}">

• 图片的网址需要对 HTML 属性做编码。
  
• 链接的地址需要判断是否是合法的网址（最好是用户输入时就提示），否则用户可以输入 javascript:alert(0) 之类的代码。
  
• 后面几个应该不允许用户输入。
  

    <a href="/path?key={user_input}">...</a>

    <script>
var value = {user_input};
var value = "{user_input}";
</script>

    <style>
{user_input}
body {background-url: "{user_input}"}
</style>