Устраняет ли указание «http://"» или «https://"» риск атак в ссылках, вводимых пользователем?

Question

Я хочу разрешить пользователям создавать ссылки в моем веб-приложении, которые могут видеть другие пользователи.Я не хочу, чтобы они могли запускать любой javascript или xss или что-то еще, конечно.Устраняет ли простое «http://" в начале эти проблемы?

Answer 1

Пока вы избегаете html-тегов и цитат в ссылках, которые они публикуют, проблем не будет.Очевидно, что если сайт содержит отраженный xss, такой как http://example.com/?x=<script>...</script>, и такая ссылка опубликована, вы не сможете избежать xss, если страница, на которую они перенаправлены, уязвима для xss.