Berkenaan mencegah serangan XSS, pengekodan HTML apabila pengguna memasukkan? Pengekodan HTML semasa mengeluarkan halaman? Penyelesaian mana yang lebih baik?

Question

Contohnya:
Berkenaan mencegah serangan XSS, perlukah pengekodan HTML dilakukan apabila pengguna memasukkan? Pengekodan HTML semasa mengeluarkan halaman? Penyelesaian mana yang lebih baik?

Secara peribadi, saya rasa lebih mudah untuk mengekod semasa memasukkan, kerana akan ada lebih banyak halaman dengan kandungan output, dan mudah terlepas apabila mengekod setiap kali Namun, dalam aplikasi sebenar, nampaknya pengekodan semasa mengeluarkan lebih selesa?

Answer 1

Untuk penapisan xss, ingat,
mesti ditapis di bahagian pelayan! ! ! ! ! ! !
Pastikan menapis semasa mengeluarkan! ! ! ! !

Answer 2

Sisi pelayan: Tulis melarikan diri perpustakaan, melarikan diri apabila memaparkan

Answer 3

Saya biasanya melarikan diri apabila menaip untuk mengelakkan suntikan SQL