51Testing软件测试论坛

标题: 后台输入框内输入了html标签，在前台是否应该显示html标签呢？ [打印本页]

作者: zyl520xz 时间: 2013-7-9 11:51
标题: 后台输入框内输入了html标签，在前台是否应该显示html标签呢？
后台输入框内输入了html标签，在前台是否应该显示html标签呢？

作者: 赵佳乐SMILE 时间: 2013-7-9 13:25
根据业务看吧

1.如果不是限制用户输入内容的是可以显示的
用户输入什么展示什么一致就OK

2.如果功能就是输入了标签要转义，那肯定就是不对的了
比如你的输入框就是像论坛回复发帖的功能输入的标签要转成相关的东西

作者: zyl520xz 时间: 2013-7-11 13:03
回复 2# 赵佳乐SMILE

大概明白了，列入：用户注册时，用户姓名输入html标签在查看用户名称姓名的时候就应该显示出html标签吧？那如果姓名不显示html标签直接过滤掉会引起注入问题吗？

作者: 赵佳乐SMILE 时间: 2013-7-11 14:00
回复 3# zyl520xz

这个我也不太懂没做过安全性测试

不过一般的做法都是不让用户输入

作者: wuxue107 时间: 2013-7-12 10:59
你输入的和你看到的一样才是最理想的。
如果你输入html的超链接标签在返回页面上显示了一个超连接，那么这将可能产生XSS跨站漏掉。

欢迎光临 51Testing软件测试论坛 (http://bbs.51testing.com/)