xss

10熱

5答えて

私は簡単な質問を受けました：ユーザー入力をサニタイズするのはいつベストですか？これらのいずれかがベストプラクティスと考えられています。データベースに書き込む前にデータをサニタイズします。生データを保存し、ビューにサニタイズします。たとえば、HTML::entities()を使用し、結果をデータベースに保存します。この場合、laravelはデフォルトでHTML::entities()を使

23熱

7答えて

最新のブラウザでXSSプロテクションを一時的に無効にする方法はありますか？

最新のブラウザで検出されたXSS保護を一時的に無効にすることは可能ですか？私は1つは、XSS脆弱Webフォームに送信するときに何が起こるかを同僚に説明しようとしている：しかし、ChromeとFirefoxの両方が、XSSのポップアップを防止していることが表示されます。この保護を無効にして、自分の行動の結果を完全に見ることができますか？

13熱

1答えて

params.mergeとクロスサイトスクリプティング

。 params.mergeをクロスサイトスクリプティングの脆弱性として使用しているすべてのリンクにはフラグが立てられています。どのように私は次のようなものを浄化することができますか？ - @archives.each do |archive| = link_to "FTP", params.merge(:action => :ftp, :archive => archive, :rec

5熱

3答えて

XSS攻撃を防ぐ

私はASP.Net C＃+ jQuery ajaxウェブサイトプロジェクトに取り組んでいます。私はxss攻撃を防止しようとしており、以下のことは完全なアプローチではないことを知っていますが、これは少なくともユーザーが空き文字列を入力するときにはHtmlEncodeを使用する必要があります。私は本当に正しいことをしているかどうかを親切にチェックする人です。ページコントロールの1つが「説明」テキスト

7熱

2答えて

HTMLと属性のエンコーディング

私はpost on Meta SOに出くわしました。私はHTMLと属性のエンコーディングの微妙な違いを知りたいと思います。

5熱

2答えて

HTML Purifier - デフォルトの許可されたHTMLタグ設定を変更する

制限私がフォーラムで使用できるHTMLタグのホワイトリストを許可します。だから私はそうのようなHTML清浄機を設定している：私は疑問に思って何 $config = HTMLPurifier_Config::createDefault(); $config->set('HTML.Allowed', 'p,a[href|rel|target|title],img[src],span[style],s

8熱

2答えて

DOM XSSの防止

最近、DOM XSS攻撃のためにテストされ、失敗した他人のコードを搭載しました。基本的にURLフラグメントはそうのように、注入されるjQueryのセレクタに直接渡され、JavaScriptを有効にされています： "http://website.com/#%3Cimg%20src=x%20onerror=alert%28/XSSed/%29%3E)" $(".selector [thing="+

25熱

2答えて

Backbone.jsとXSS/HTMLエスケープ

私はBackbone.jsアプリケーションを構築していますが、Backbone.jsを使用しているときにXSSのHTMLエスケープを処理するにはどうすればよいのでしょうか。正式なBackbone.jsのドキュメントのでは、データはエスケープされません。 RESTサーバーを使用する場合 "><script>alert('xss');</script> ：このデータは、TODO項目をレンダリ

10熱

1答えて

JSF SelectItemsとエスケープ（xss）

私の例では、f：selectItems属性を持つselectOneMenuがあります。セレクトアイテムは、このように私の豆から解決されています表示されるオブジェクトは、 "属性を持つ単純なオブジェクトです public List<MyObject> getSelectItems() { List<MyObject> list = new LinkedList<MyObject>();

18熱

4答えて

JavaScriptで<script type = "text/plain" src = ...>経由で取得したプレーンテキストコンテンツにアクセスするにはどうすればよいですか？