从输入文本中删除标记时的XSS

Question

如果从文本中删除所有标签，是否可以执行XSS攻击？标签意味着所有匹配模式＆＃34;＆lt; ...＆gt;＆＃34; （正则表达式：/<.*?>/g）。

Answer 1

是：

<img src=x onerror=alert(1)//

不要发明自己的过滤器。按照OWASP XSS预防备忘单中的描述对上下文进行编码。