La méthode jQuery .text () XSS est-elle sûre?

Question

J'ai des données non échappées des utilisateurs.

Donc, est-il sécuritaire d'utiliser comme ceci:

 var data = '<test>a&f"#</test>'; // example data from ajax response
if (typeof(data) === 'string')
    $('body').text(data);
 

Puis-je utiliser comme ceci ou il y a quelques problèmes comme l'encodage ou des symboles spécifiques que je devrais faire attention et ajouter une validation plus stricte?

Answer 1

Lorsque vous définissez le texte d'un élément à l'aide de l' text méthode, jQuery utilise createTextNode en interne, qui échappe à tous les caractères spéciaux.

À partir du jQuery docs:

Nous devons être conscients que cette méthode s'échappe de la chaîne fournie en tant que nécessaire pour qu'ils s'affichent correctement dans le code HTML. Pour ce faire, il appelle la méthode DOM .createTextNode(), qui remplace les caractères spéciaux avec leurs équivalents en entité HTML (comme < pour <)

Donc, oui, il devrait être à l'abri. Voici votre exemple, jsfiddle. Remarquez comment les balises apparaissent comme texte littéral.

Answer 2

Parce que les attaques XSS compter sur d'être capable d'insérer des nœuds DOM (<img />, <script />), etc, et jQuery.fn.text() ne prend pas en charge cette fonction, il est tout à fait XSS coffre-fort.

Comme vous pouvez le voir dans cet exemple de base, tous-les balises HTML sont codés en tant que résultat de jQuery en utilisant createTextNode en interne:

jQuery('div').text('<test>a&f"#</test>');​

De sorte que ce qui est en fait insérée est plus équivalent à;

jQuery('div').html('<test>a&f"#</test>');​

Answer 3

Vous devez toujours faire attention lorsque vous insérez le résultat dans le DOM - voir: Vulnérabilité Cross-Site Scripting avec JavaScript et JQuery .

Cependant, pour définir le texte des éléments, le texte doit être compatible XSS.

Answer 4

Contrairement à la méthode .html (), .text () peut être utilisé à la fois dans les documents XML et HTML. Le résultat de la méthode .text () est une chaîne contenant le texte combiné de tous les éléments correspondants. (En raison des variations des analyseurs HTML dans les différents navigateurs, le texte renvoyé peut varier en nouvelles lignes et en d'autres espaces.)

.text(data) supprimerait les <test></test> et vous laisserait avec a&f#

Answer 5

Oui. Il s’agit de texte, pas de code.