web后端针对xss攻击只将'<' '>'转换为' <' 和 '>' 行不行?

[kk_back]

如题，web后端将'<','>' 转换成'<' 和 '>' 是不是可以预防所有的xss攻击？

[ambit_tsai-微信]

不可以，引号也可能会导致xss。 比如：<input value="<%=aaa%>" />。 若aaa的值为" onclick="alert(123)，则 <input value="" onclick="alert(123)" /> 就产生xss了。 还有转义符 \ 等，通常过滤这些就够。 当然还是其它的奇技淫巧了

[ambit_tsai-微信]

引用 2 楼 u011877410 的回复:

引用

不可以，引号也可能会导致xss。 比如：<input value="<%=aaa%>" />。 若aaa的值为" onclick="alert(123)，则 <input value="" onclick="alert(123)" /> 就产生xss了。 还有转义符 \ 等，通常过滤这些就够。 当然还是其它的奇技淫巧了

可以解释一下为什么转义符\能够导致xss吗？

是我记混了，常见的xss好像没有用转义符

[kk_back]

引用

不可以，引号也可能会导致xss。 比如：<input value="<%=aaa%>" />。 若aaa的值为" onclick="alert(123)，则 <input value="" onclick="alert(123)" /> 就产生xss了。 还有转义符 \ 等，通常过滤这些就够。 当然还是其它的奇技淫巧了

可以解释一下为什么转义符\能够导致xss吗？