微信小程序怎么防xss攻击

Question

接口返回HTML字符串，怎么防xss攻击

Answer 1

• XSS攻击是说用户在提交数据的时候，加入了一些前端代码，被后端没有经过任何处理就进行了入库，当重新渲染的时候，就会被浏览器执行。
• XSS攻击，需要在入库前进行防御，一般由后端进行预防
• 如果是后端返回给你html, 你直接用就行，前端不用管这些，如果有，那也是后端没处理好。

已参与了 SegmentFault 思否社区 10 周年「问答」打卡 ，欢迎正在阅读的你也加入。

Answer 2

XSS 是 Cross Site Scripting 的缩写……

而小程序里压根就没有 script ……

---

当然了，可能存在这样的场景：恶意用户会在小程序端上传带有 XSS 的恶意内容，如果你还有个管理后台或者其他基于 Web 的网站、直接拿到这个数据展示的话，会有 XSS 的风险。但这是另一个话题了，跟小程序其实无关。

Answer 3

尽量避免用户的输入,这是最方便的
其次可以将用户输入的数据进行转义,将< 转义为& l t,> 转义为& g t. 这样就不会运行js了. 思路就是使用户输入的数据不具备js可执行的条件.

已参与了 SegmentFault 思否社区 10 周年「问答」打卡 ，欢迎正在阅读的你也加入。