使用JavaScript安全地将字符串插入HTML

Question

插入如下：

a_span.innerHTML() = input.value

为防止PHP中出现任何类型的攻击，我使用htmlspecialchars。我应该使用this 保护或原生escape是否足够？

Answer 1

首先，我假设您打算写a_span.innerHTML = input.value，因为innerHTML不是函数。

其次，如果您担心文本被解释为HTML实体，则应使用document.createTextNode（）而不是innerHTML。像a_span.innerHTML="";a_span.appendChild(document.createTextNode(input.value));这样的东西应该可以正常工作。