网站防止XSS问题

Question

网站有个表单，我在表单里输入<script>alert(22)</script>，点击提交，为什么网站会调到http://test.baidu.com/off_we_go.html？ 这样的空白页面？难道做了防止XSS处理？

Answer 1

可以试试这个：https://github.com/leizongmin/js-xss

Answer 2

SQL注入的话，使用PreparedStatement就可以解决了；
使用JSTL的Cout也可以过滤掉一些标签；
ajax请求的数据，用HtmlEncode也可以进行转义。

Answer 3

有一些防止xss攻击的库就是把标签进行转义，这样显示在网页时，浏览器只会将标签显示为字符

Answer 4

前端XSS过滤都会被绕过，只有在后端过滤才能万无一失。参考：
如何过滤不可信输入防御网站被XSS?