未经验证在JavaScript上使用window.location.href和用户输入是否安全？

Question

将某些内容分配给window.location.href并将其用于导航到不同的URL是否安全？如果没有，应该如何保护？

例如：

<input type="text" id="search" />
<input id="search-btn" type="button" />

JS：

$('#search-btn').click(function() {
    window.location.href = window.location.href + "/Search/" + $("#search").val();
});

Answer 1

这是绝对可以接受的-查询不会在其他任何计算机上显示。将其发送到服务器后，它将搜索粘贴在文本框中的内容，并返回相关文档的列表。因为查询根本不会解析为HTML，所以您会很安全。