xss过滤器

Question

小弟写了一个xss 过滤器 过滤所有参数， 但是前台有一个公共的页面 可以给公众填写意见的， 填写意见相当于
写文章一样可以有比如逗号 分号 双引号 等等特殊符号，这样我的过滤器会过掉所有的特殊符号。 文章就会变成没有标点符号的一段文字， 怎么样处理比较好呢，可是我的过滤器又不想放过这些符号 因为放过这些符号可能造成xss攻击

Answer 1

能造成 xss 的特殊符号并不多，逗号和分号是不会造成 xss 的。

处理 xss 并不需要过滤，只需要把几个特定字符转义输出即可。参考?文章
http://blog.iamtjcn.com/2017/...

JavaScript 处理 XSS 方法，可以直接使用这个函数
https://gist.github.com/Thadd...

附赠： XSS 测试用例
https://gist.github.com/Thadd...

Answer 2

提供一个姿势，你可以把容易引起xss漏洞的半角字符直接替换成全角字符。

Answer 3

应该对回显escape，而不是对输入做过滤。

Answer 4

这种情况就不能做强过滤了。。。

这个稍复杂些，比如使用OWASP API对html、js做相应的转码。或者采用字符白名单的方式，千万不要使用黑名单。。。

Answer 5

应该对内容转义,肯定不能直接过滤掉符号