安全方面的问题：跨站脚本攻击

[比特灵]

新网站倒是还好，可以做规律性的过滤； 老网站改造的时候就惨了，只能用关键字过滤器，还有别的好办法吗？

[比特灵]

是呀，我现在也是这么处理，不过也是会有问题，有些第三方的控件会无故不好用了，去掉过滤器就恢复，我想可能是关键字被过滤掉了，所以每每都一个个字的尝试。

[未知数]

服务端将用户输入中的引号过滤掉（特殊情况必须支持的可特殊处理，允许引号的输入不可输出为html属性）、替换尖括号为</>，url参数也要做该处理，该基本不会有问题了

[未知数]

引用 2 楼 bigc2001 的回复:

是呀，我现在也是这么处理，不过也是会有问题，有些第三方的控件会无故不好用了，去掉过滤器就恢复，我想可能是关键字被过滤掉了，所以每每都一个个字的尝试。

没这种说法吧，过滤在服务端完成，只对浏览器提交的用户输入项起作用，绝大多数用户输入本来就不该支持引号吧，和第三方控件有什么关系？

[比特灵]

控件是js写的，实现用户客户端特定操作，传到后台，代码我在后台看过，传过来就乱了。