Является ли содержимое в тегах HTML кода XSS уязвимым?

Question

Я использую Codeingiter, я вижу, что xss_clean() заменяет символы табуляции одним пробелом. Это нарушает содержимое, которое впоследствии отображается внутри тегов <pre><code>.

Может ли XSS-атака строки внутри <code> HTML-тега быть проблемой?

Если да, есть ли способ сохранить вкладки в такой ситуации?

Answer 1

Да, атаки XSS внутри элемента <code> по-прежнему являются проблемой. Чтобы обойти это, вы должны экранировать свой код в блоке <code>. например,

<pre><code>&lt;p%gt;this is an example paragraph in code&lt;/p&gt;

Который будет отображаться как:

<p>this is an example paragraph in code</p>