Ember 数据模型属性清理/转义以防止 XSS？

Question

如何对字符串属性执行清理以防止 XSS？现在我的想法是覆盖我的基本模型的保存方法并迭代模型中的所有字符串并将所有字符串输入设置为安全字符串。这是解决这个问题的好方法还是有更好的方法？

编辑：

在应用中为某人保存名称属性 (alert('xss')) 时出现问题。它以未经清理的方式将其保存到数据库中。然后将该名称加载到我们的另一个站点中，该站点不会清理输出，这就是脚本注入发生的地方！我想在将其保存到数据库之前对其进行消毒

Answer 1

Handlebars 自动清理字符串。如果你想避免这种情况，你必须明确地使用三括号语法：

{{{myHtmlString}}}

Answer 2

与其尝试清理输入，您真的应该更改该其他站点，以确保它以 html 转义从数据库中呈现的数据。即使你会在 Ember 端“清理”一些东西，你能保证没有其他漏洞允许某人在数据库中注入 HTML 吗？

总是逃避任何呈现的东西确实是处理 XSS 的唯一安全方法。如果您正在过滤输入，您很可能无法捕捉到注入意外输入的所有可能方式。