服务器端消息数据安全

Question

从客户端收到的消息内容作为查询字符串参数之一进行消毒的最佳方式是什么？此消息也意味着重新发送到其他连接的客户端，以便在服务器或客户端的代码执行或注入（JavaScript或HTML）方面具有安全性。

Answer 1

要保护的node.js防止XSS我借这从片段jade：

/** 
* Escape the given string of `html`. 
* 
* @param {String} html 
* @return {String} 
* @api private 
*/ 

function sanitize(html){ 
    return String(html) 
     .replace(/&(?!\w+;)/g, '&') 
     .replace(/</g, '&lt;') 
     .replace(/>/g, '&gt;') 
     .replace(/"/g, '&quot;'); 
} 

PS：你应该总是做正确的服务器端筛选

Answer 2

你可以使用node-validator，它看起来像一个更全面的解决方案的aboce片段。