我应该清理快速 js 中的用户输入吗？

Question

我使用 express-validator escape() 来清理用户输入并使用参数化查询将转义数据保存在数据库中。当我使用 EJS 视图引擎渲染来自数据库的输入时，我得到了转义字符。例如'变成' 我需要在渲染时取消它们吗？或者我不应该使用消毒？

Answer 1

最佳实践是始终存储原始数据，因此如果用户发送“

”，您将“

”存储在您的数据库中，然后您将 escape the string on the client side（或者如果您使用的是服务器端）服务器端渲染），然后在 HTML 上显示到prevent XSS。所以不要escape()你的快递应用上的字符串，只存储原始文本。