Защита от XSS при отображении с использованием Ajax

Question

data, возвращенный с сервера, восприимчив к XSS. Нужно ли мне дезинфицировать данные на сервере, прежде чем отправлять их клиенту, используя что-то вроде htmlspecialchar(), или $.get() перемещаться по XSS? Спасибо

$.get('getData.php', 
function (data){ 
    $('#div1').text(data.div1); 
    $('#div2').html(data.div2); 
    $('#textarea').val(data.textarea); 
},'json'); 

Answer 1

$('#div1').text(data.div1); 

Это не suceptible к XSS, так как вы изменяете текст элемента. Это позаботится о том, для чего вы используете htmlspecialchars.

$('#div2').html(data.div2); 

Это, так как вы изменяете HTML и не текст, так что если вы не знаете, что ваш ответ кто-то может поставить <script> тег там и выполнить произвольный код на вашей странице.

$('#textarea').val(data.textarea); 

Это также нормально, так как он изменяет содержимое текстовой области.