避免在 vue toasted 通知标题中执行跨站点脚本 (XSS)

Question

我在注入 js 代码 ex 时使用 vue-toasted。 "><img src=1 onerror=prompt(document.cookie);> 输入并点击提交。

这样的通知显示： 和带有 cookie 的弹出显示：/。

和console.log(response.data.message); 显示：
Created Site ""><img src=1 onerror=prompt(document.cookie);>" successfully!

vue 正在转义 html 但toasted 不是，这里是代码：

handleFormSubmit: function(response) {
        this.showAddSiteModal = false;
        if (response.data.status === 'success')
        {
            console.log(response.data.message);
            this.$toasted.success(response.data.message); //<<< problem here
            this.addSite(response.data.site);
        }
        else
        {
            this.$toasted.error(response.data.message);
        }
    },

Answer 1

在php端使用htmlspecialchars()。