如何在 javascript 中处理可能的 HTML 编码值

Question

我有一种情况，我不确定我得到的输入是否是 HTML 编码的。我该如何处理？我也有可用的 jQuery。

function someFunction(userInput){
    $someJqueryElement.text(userInput);
}

// userInput "<script>" returns "&lt;script&gt;", which is fine
// userInput "&lt;script&gt;" returns &amp;lt;script&amp;gt;", which is bad

我可以避免转义 & 符号 (&)，但这样做有什么风险？非常感谢任何帮助！

重要提示：此用户输入不在我的控制范围内。它从外部服务返回，有人可能篡改它并避免该服务本身提供的 html 转义。

Answer 1

您必须始终正确编码不受信任的输入，然后才能将其连接为 HTML 等结构化语言。

否则，您将启用 XSS 等注入攻击。

如果输入应该包含 HTML 格式，您应该使用 sanitizer 库去除所有可能不安全的标签和属性。

您也可以使用正则表达式/<|>|&(?![a-z]+;) 来检查字符串是否有任何非编码字符；但是，您无法区分已编码的字符串和谈论编码的未编码字符串。

Answer 2

您确实需要确保避免这些情况，因为它会引入非常难以预测的情况。

尝试向函数添加额外的变量输入。

function someFunction(userInput, isEncoded){
    //Add some conditional logic based on isEncoded
    $someJqueryElement.text(userInput);
}

如果您查看 fckEditor 之类的产品，您可以选择编辑源代码或使用富文本编辑器。这样就无需进行自动编码检测。

如果您仍然坚持自动检测 html 编码字符，我建议使用 index of 来验证某些关键短语是否存在。

str.indexOf('<') !== -1

上面的这个例子将检测

~~~编辑后在此行下方添加了新文本。~~~

最后，我建议查看this answer。他们建议使用解码功能和检测长度。

var string = "Your encoded & decoded string here"

function decode(str){
    return decodeURIComponent(str).replace(/&lt;/g,'<').replace(/&gt;/g,'>');
}

if(string.length == decode(string).length){
    // The string does not contain any encoded html.
}else{
    // The string contains encoded html.
}

同样，这仍然存在用户通过输入那些特殊编码的字符来伪造进程的问题，但这就是 html 编码。因此，一旦出现这些字符序列之一，就假设 html 编码是正确的。