浏览器显示/执行表单域的警报

Question

我遇到了跨站点脚本问题。 我有一个带有 textarea 字段和保存按钮的子模式对话框。现在，如果用户为此字段输入 alert("1") 标记并单击保存，我将关闭模态对话框并将其显示在后台模态 div 中（即在父模态上）

这实际上是通过 Backbone 触发事件发生的，然后我粘贴响应（这只是用户在字段中输入的内容）

$("#myFieldDiv").html(resp);

现在浏览器显示值为 1 的弹出窗口。我该如何解决这个问题？

我的字段需要接受 HTML。

Answer 1

您可以尝试使用 encodeURIComponent() 对来自用户的输入进行编码。

$("#myFieldDiv").html(encodeURIComponent(resp));