HTML: Tôi có nên mã hóa lớn hơn hay không? (> >)

Question

Khi mã hóa dữ liệu có thể không an toàn, có lý do nào để mã hóa > không?

• Nó validates một trong hai cách.
• Trình duyệt giải thích cùng một trong hai cách, (Trong trường hợp attr="data", attr='data', <tag>data</tag>)

Tôi nghĩ rằng lý do ai đó sẽ làm điều này là

• Để đơn giản hóa regex dựa loại bỏ thẻ. <[^>]+>? (hiếm)
• Chuỗi không được trích dẫn attr=data. : -o (không xảy ra!)
• Thẩm mỹ trong mã. (vì vậy cái gì?)

Tôi có thiếu gì không?

Answer 1

Nói đúng cách, để ngăn chặn việc tiêm HTML, bạn chỉ cần mã hóa < là <.

Nếu đầu vào của người dùng sẽ được đặt vào một thuộc tính, cũng mã hóa " là ".

Nếu bạn đang làm đúng và sử dụng các thuộc tính được trích dẫn chính xác, bạn không cần phải lo lắng về >. Tuy nhiên, nếu bạn không chắc chắn về điều này, bạn nên mã hóa nó chỉ để yên tâm - nó sẽ không làm hại gì cả.

Answer 2

Các HTML4 đặc điểm kỹ thuật trong phần của nó 5.3.2 nói rằng

tác giả nên sử dụng ">" (ASCII thập phân 62) trong văn bản thay vì ">"

vì vậy tôi tin rằng bạn nên mã hóa ký hiệu > lớn hơn là > (vì bạn phải tuân theo các tiêu chuẩn).

Answer 3

Mã hóa các ký tự html luôn là một công việc tinh vi. Bạn nên luôn mã hóa những gì cần phải được mã hóa và luôn sử dụng các tiêu chuẩn. Sử dụng dấu ngoặc kép là tiêu chuẩn, và thậm chí dấu ngoặc kép bên trong dấu ngoặc kép sẽ được mã hóa. Luôn mã hóa ENCODE. Hãy tưởng tượng một cái gì đó như thế này

<div> this is my text an img></div> 

Có thể là img> sẽ được phân tích cú pháp từ trình duyệt dưới dạng thẻ hình ảnh. Trình duyệt luôn cố gắng giải quyết các thẻ hoặc dấu trích dẫn không được đính kèm. Như basile nói tiêu chuẩn sử dụng, nếu không bạn có thể có kết quả bất ngờ mà không hiểu nguồn gốc của lỗi.

Answer 4

Luôn

này là để ngăn chặn XSS tiêm (thông qua người dùng sử dụng bất kỳ biểu mẫu của mình nộp HTML thô hay javascript). Bằng cách thoát khỏi đầu ra của bạn, trình duyệt không biết phân tích cú pháp hoặc thực hiện bất kỳ thao tác nào - chỉ hiển thị nó dưới dạng văn bản.

Điều này có thể cảm thấy ít vấn đề hơn nếu bạn không xử lý đầu ra động dựa trên đầu vào của người dùng, tuy nhiên điều quan trọng là ít nhất phải hiểu, nếu không tạo thói quen tốt.

Answer 5

hiện phân tích cú pháp HTML trình duyệt không có vấn đề với uquoted > s

Tuy nhiên, thật không may, sử dụng biểu thức thông thường để "parse" HTML trong JS là khá phổ biến. (ví dụ: Ext.util.Format.stripTags). Các công cụ dòng lệnh viết kém, IDE, hoặc các lớp Java vv có thể không đủ tinh vi để xác định giới hạn của thẻ mở.

Vì vậy, bạn có thể gặp vấn đề với mã như thế này:

<script data-usercontent=">malicious();//"></script> 

(! Lưu ý cách xử lý cú pháp highlighter đoạn này)