xss与转义符

xss简单来说：

• XSS 攻击是页面被注入了恶意的代码

• XSS 漏洞是 可以让攻击者注入恶意代码可执行的漏洞

具体参看之前写的：

• web开发前端安全问题总结——web前端安全问题汇总 https://www.zhoulujun.cn/html/webfront/SGML/web/2017_0503_8004.html

• 前端安全配置xss预防针Content-Security-Policy(csp)配置详解 https://www.zhoulujun.cn/html/webfront/SGML/web/2017_0503_8004.html

• script新属性integrity与web安全，再谈xss https://www.zhoulujun.cn/html/webfront/ECMAScript/js6/2018_0521_8115.html

为了xss，常见的转义符

转义只是防止xss攻击的一种手段之一，更多请查看：《web开发前端安全问题总结——web前端安全问题汇总》

html转义与反转义方法

html转义

lodashjs

lodashjs作为常用，集成了escape 方法

https://www.lodashjs.com/docs/lodash.escape

DOM API

转义方法

let textNode = document.createTextNode(`<script src='https://www.zhoulujun.cn/xxs.js'></script>`);
let div = document.createElement('div')
div.append(textNode);
console.log(div.innerHTML);

反转义方法

let str = `<script src='let doc = new DOMParser().parseFromString(str, 'text/html'); 
console.log(doc.documentElement.textContent);

字符串替换处理 转义与反转义

就是正则替换，这里想不讲了，能用库太多了，去看一下源码就好了

HTML常用转义字符对照表

最常用的字符实体 Character Entities

ISO 8859-1 (Latin-1)字符集

HTML 4.01 支持 ISO 8859-1 (Latin-1) 字符集。

备注：为了方便起见，以下表格中，“实体名称”简称为“名称”，“实体编号”简称为“编号”

数学和希腊字母标志
symbols, mathematical symbols, and Greek letters

重要的国际标记
markup-significant and internationalization characters

JavaScript转义符

富文本通用转义字符

HTML特殊转义字符对照表

参考文章：

巧用DOM API实现HTML字符的转义和反转义 https://www.zhangxinxu.com/wordpress/2021/01/dom-api-html-encode-decode/

java转换 HTML字符实体，java特殊字符转义字符串 https://blog.51cto.com/xionggeclub/3768494

转载本站文章《HTML转义字符：xss攻击与HTML字符的转义和反转义》,
请注明出处：https://www.zhoulujun.cn/html/webfront/SGML/htmlBase/2022_0617_8846.html