В Mobile Textarea применять XSS-фильтр

Question

У меня есть простая HTML-форма для мобильного Интернета, и в TextArea пользователь может вводить любые данные.

Мне нужно создать функцию, которая может применять фильтр XSS, не передавая на сервер никаких HTML или недопустимых данных XSS.

я в настоящее время с помощью OWASP рекомендуемого XSS избежать HTML, как:

var data = document.getElementById(__fieldname__).innerHTML; 
data = data.replace(/\<(.*?)DOCTYPE(.*?)\>/ig, '') 
      .replace(/\<html(.*?)\>/ig, '') 
      .replace(/\<\/html(.*?)\>/ig, '') 
      .replace(/\<script(.*?)\>/ig, '') 
      .replace(/\<\/script(.*?)\>/ig, '') 
      .replace(/\<style(.*?)\>/ig, '') 
      .replace(/\<\/style(.*?)\>/ig, '') 
      .replace(/\<body(.*?)\>/ig, '') 
      .replace(/\<\/body(.*?)\>/ig, '') 
      .replace(/\<form(.*?)\>/ig, '') 
      .replace(/\<\/form(.*?)\>/ig, '') 
      .replace(/\<iframe(.*?)\>/ig, '') 
      .replace(/\<\/iframe(.*?)\>/ig, '') 
      .replace(/\&/g, '&amp;') 
      .replace(/\</g, '&lt;') 
      .replace(/\>/g, '&gt;') 
      .replace(/\"/g, '&quot;') 
      .replace(/\'/g, '&#x27;') 
      .replace(/\//g, '&#x2F;'); 
use data... 

каких-либо предложения или улучшение?

Answer 1

Вы проверки данных с помощью JavaScript, который в основном подтверждению данных на стороне клиента, и есть некоторые случаи, если пользователь блокирующая JavaScript, то пользователь может легко обойти это так лучший вариант для этого вида проверки является использование сервера -side валидация тоже.