Javascript.RU

Создать новую тему Ответ
 
Опции темы Искать в теме
  #11 (permalink)  
Старый 15.03.2015, 21:47
Аватар для Armen
Кандидат Javascript-наук
Отправить личное сообщение для Armen Посмотреть профиль Найти все сообщения от Armen
 
Регистрация: 28.06.2009
Сообщений: 120

Сообщение от рони Посмотреть сообщение
Armen,
ок подождём гуру, который и вам поможет и я смогу узнать в чём была ваша проблема.
Ладно, пока ждем я объясню.
С сервера приходит строка, чтобы обезопасить сайт от xss(ведь кто знает, что мне сервер может прислать, это может быть и javascript), который если я вставлю в свой элемент, он же атрибут, то будет ой как не хорошо.
Вот я и хочу закодировать символы, которые будут приходить с сервера и при этом отображаться корректно в атрибутах.
Кстати, как вариант - можно использовать hex, то есть:
var hex = '&'.charCodeAt().toString(16); // 26
div.setAttribute('title', "\x" + hex); // error
div.setAttribute('title', "\x26"); // СУПЕР

Как видите, я не могу писать так "\x" + hex сразу ошибка.

Последний раз редактировалось Armen, 15.03.2015 в 21:52.
Ответить с цитированием
  #12 (permalink)  
Старый 15.03.2015, 22:20
Аватар для Armen
Кандидат Javascript-наук
Отправить личное сообщение для Armen Посмотреть профиль Найти все сообщения от Armen
 
Регистрация: 28.06.2009
Сообщений: 120

А вот и решение, может кому-то пригодится
var hex = '&'.charCodeAt().toString();
div.setAttribute('title', String.fromCharCode(hex));
Ответить с цитированием
  #13 (permalink)  
Старый 15.03.2015, 22:25
Аватар для bes
bes bes вне форума
Профессор
Отправить личное сообщение для bes Посмотреть профиль Найти все сообщения от bes
 
Регистрация: 22.03.2012
Сообщений: 3,744

Сообщение от Armen
Да какая разница зачем? Вот нужно так, если не знаете, как помочь, то зачем такие вопросы задавать?
потому что ты наверное плохо объясняешь, неужели не понятно?

Сообщение от Armen
А вот и решение, может кому-то пригодится
var hex = '&'.charCodeAt().toString();
div.setAttribute('title', String.fromCharCode(hex));
приведи пример, как ты можешь пострадать в указанном тобою случае, чтобы делать то, что ты предлагаешь
Ответить с цитированием
  #14 (permalink)  
Старый 15.03.2015, 22:36
Аватар для Armen
Кандидат Javascript-наук
Отправить личное сообщение для Armen Посмотреть профиль Найти все сообщения от Armen
 
Регистрация: 28.06.2009
Сообщений: 120

Сообщение от bes Посмотреть сообщение
потому что ты наверное плохо объясняешь, неужели не понятно?


приведи пример, как ты можешь пострадать в указанном тобою случае, чтобы делать то, что ты предлагаешь
придет с сервера вот такая штука <script>alert("xss")</script>
Ответить с цитированием
  #15 (permalink)  
Старый 15.03.2015, 23:53
Аватар для bes
bes bes вне форума
Профессор
Отправить личное сообщение для bes Посмотреть профиль Найти все сообщения от bes
 
Регистрация: 22.03.2012
Сообщений: 3,744

Сообщение от Armen
придет с сервера вот такая штука <script>alert("xss")</script>
пришёл, ты вставил это в атрибут или даже в innerHTML, скрипт исполнился?
Ответить с цитированием
  #16 (permalink)  
Старый 16.03.2015, 03:05
Профессор
Отправить личное сообщение для laimas Посмотреть профиль Найти все сообщения от laimas
 
Регистрация: 14.01.2015
Сообщений: 12,990

придет с сервера вот такая штука <script>alert("xss")</script>

Без вашего ведома такое вообще-то с сервера никак не может прийти, если же приходит значит вы не контролируете ситуацию на нем.
Другой случай, это уже атаки типа "человек по середине", но превращать нужно не символы в unicod, а "опасные" символы в html-сущности <, >, &.
Ответить с цитированием
Ответ



Опции темы Искать в теме
Искать в теме:

Расширенный поиск


Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Как организовать выбор новости из списка (JavaScript + RSS or HTML парсер) Wolfak Общие вопросы Javascript 2 24.02.2014 14:08
Как открыть окно в браузере со сгенерированным через JavaScript HTML-кодом? xintrea Events/DOM/Window 1 13.07.2013 02:03
Как вывести переменную из javascript в html код? red-nicolas Элементы интерфейса 3 25.02.2012 13:27
Как то можно узнать ID HTML элемента вызвавшего JavaScript функцию? Opusel Events/DOM/Window 1 18.12.2011 18:36
Как с помощью JavaScript сохранить какие-либо изменения в HTML документе? FirstFrost Общие вопросы Javascript 1 15.07.2010 16:23