URI编码和HTML编码

Question

如果我要发布xml / html数据，我们需要对数据进行编码以避免XSS验证。我们应该为此使用HTMLencode或URI编码。

如果使用URI编码，则会导致问题，因为表单POST会自动对所有数据进行URI编码。

Answer 1

XSS是将污染数据提供给客户端引起的问题。在发布数据时无法解决。

为了防止它，HTML将数据（立即）编码，然后再将其放入HTML文档中。

Answer 2

请记住：过滤输入，转义输出。

1. 在将输入放入数据库之前始终过滤输入（以避免SQL注入等）
2. 在通过过滤/编码动态内容中的任何HTML将其发送到客户端之前转义输出。