如何使 jQuery 不受 XSS 影响？答案

【问题标题】：How to make jQuery secure from XSS?如何使 jQuery 不受 XSS 影响？
【发布时间】：2019-11-17 20:02:08
【问题描述】：

我有一个使用 jquery 和 bootstrap 的网站。

现在，当我通过扫描应用程序运行它时，会出现一堆问题，包括使用 append()、html() 和 write() 以及指向 XSS 攻击。这些问题可以在 bootstrap 和 jquery 文件 (bootstrap.js) 中找到。

通过 stackoverflow 搜索后，我找到了这些 jquery 函数的安全替代方案，但不幸的是，这些替代方案破坏了我的应用程序。

我有什么方法可以在不更改底层引导代码的情况下解决安全问题？

还是因为网站没有外部输入并且所有文件都来自受信任的来源，所以它在某种程度上是安全的？

【问题讨论】：

Is there any way for me to resolve the security issues without changing the underlying bootstrap code? 你提到的任何库本质上都没有错 - 这完全取决于你如何使用它们。

【解决方案1】：

对不安全的输入使用.text() 函数：

var input = $("'/><script>alert('I am an attacker!')</script>").text();

【讨论】：

【解决方案2】：

还是因为网站没有外部输入并且所有文件都来自受信任的来源，所以它在某种程度上是安全的？

是的（假设您对来源的信任没有错位）。

【讨论】：