XSS 保护 HTML 实体

Question

如果用于过滤用户输入，您认为这些功能足以防止 XSS 吗？我真的应该自己制作或使用 XSS 库吗？请给我建设性的批评。谢谢大家。

/**
 * Escape HTML string to prevent XSS.
 */
export const escapeHtml = (string: string): string => {
    if (isString(string)) {
        const entityMap = {
            "&": "&",
            "<": "&lt;",
            ">": "&gt;",
            '"': "&quot;"
        };
        return string.slice(0, string.length).replace(/[&<>"]/g, (s: string): string => entityMap[s]);
    }
    return string;
};

/**
 * Loop over Object to escape each of its value to prevent XSS.
 */
export const escapeHtmlQueryObject = (obj: { [string]: string }): { [string]: string } => {
    let result = obj;
    if (obj && isObject(obj)) {
        result = Object.keys(obj).reduce((res: { [string]: string }, key: string): {
            [string]: string
        } => {
            res[key] = escapeHtml(obj[key]);
            return res;
        }, {});
    } else if (process.env.NODE_ENV !== "production" && process.env.NODE_ENV !== "test") {
        console.error(`FilterXSSQueryObject can't process ${obj.toString()}`);
    }
    return result;
};

Answer 1

与this answer 相比，您可能还想转义单引号。

也就是说，如果您想确保您的代码是安全的，最好依赖一个经过安全专家实战测试的库。

人们不喜欢为小事加载库，但这是一件重要的小事，所以我不会介意。

不相关：您似乎正在使用Object.keys 以迂回的方式遍历对象的键以访问其值，但您也可以只使用Object.values。