后台输入框内输入了html标签，在前台是否应该显示html标签呢？

zyl520xz · 发表于 2013-7-9 11:51:02

赵佳乐SMILE · 发表于 2013-7-9 13:25:35

根据业务看吧

1.如果不是限制用户输入内容的是可以显示的
用户输入什么展示什么一致就OK

2.如果功能就是输入了标签要转义，那肯定就是不对的了
比如你的输入框就是像论坛回复发帖的功能输入的标签要转成相关的东西

zyl520xz · 发表于 2013-7-11 13:03:27

回复 2# 赵佳乐SMILE

大概明白了，列入：用户注册时，用户姓名输入html标签在查看用户名称姓名的时候就应该显示出html标签吧？那如果姓名不显示html标签直接过滤掉会引起注入问题吗？

赵佳乐SMILE · 发表于 2013-7-11 14:00:52

回复 3# zyl520xz

这个我也不太懂没做过安全性测试

不过一般的做法都是不让用户输入

wuxue107 · 发表于 2013-7-12 10:59:15

你输入的和你看到的一样才是最理想的。
如果你输入html的超链接标签在返回页面上显示了一个超连接，那么这将可能产生XSS跨站漏掉。

		自动登录	找回密码
密码			(注-册)加入51Testing

[讨论] 后台输入框内输入了html标签，在前台是否应该显示html标签呢？