过滤javascript脚本? 怎么个回事啊？

[yue547283947]

发帖加了个js验证 发帖内容不能为空。但别人就是能发空的帖子。我问为什么，他说我没有过滤javascript脚本。。。



我不懂怎么过滤啊？？？怎么个回事啊？


大侠们帮个忙呗。。。谢了。

[q107770540]

你的 "js验证"是怎么写的？

[阿非]

不单单要在页面验证，提交后在服务器端也要验证的

[beyond_me21]

客户端的js验证是防君子不防小人的，对于不怀好意的访问者完全可以通过禁用js脚本来提交数据，也可以用程序模拟http提交数据

[shaoxingss]

学习了，希望能和大家多交流，以后常来往
http://hi.csdn.net/space.html

[yue547283947]

[Quote=引用 1 楼 q107770540 的回复:]
你的 "js验证"是怎么写的？
[/Quote]

$(function() {
            $("#btnSub").click(function() {
                    if ($("#textarea").val() == '') {
                        alert("内容为必填项，请详细填写！");
                    }
                    else {
                        $.ajax({
                            type: "post",
                            url: "Reply.ashx",
                            data: { info: $("#textarea").val(), tid: '', cid: '' },
                            dataType: "plain",
                            success: function(data) {
                                switch (data) {
                                    case "0":
                                        alert("对不起，提交失败，请重试！");
                                        break;
                                    case "1":
                                        window.location.href = "Info.aspx";
                                        break;
                                }
                        });
                    }
                }
            });
        });

[yue547283947]

Reply.ashx 在这里我直接保存数据库了 我没过滤。。。

我一般对登陆过滤 所以这里忽略了。


是不是 在Reply.ashx里 把文本框的值经行一次过滤？？去掉一些特殊字符？

[moxcm]

在服务器端不进行过滤，很容易被人SQL 注入的，尽量要做客户端的数据进行检测，无论是客户端还是服务器端，其中服务器端是必不可少的

[moxcm]

不仅仅你的Reply.ashx需要进行过滤，其他的页面都需要的

[CalvinR]

[loveroc2012]

<script type="text/javascript">alert('s')</script>