javascript xss внутри текстовой области

Question

У меня есть промежуток, где у меня есть этот текст внутри:

/><textarea>

Затем я пытаюсь отредактировать текст диапазона, заменив текст внутри него текстовой областью и добавив внутри текст.

затем, когда я пытаюсь отменить редактирование и удалить текстовую область, а затем вернуть данные обратно в диапазон, это появляется:

/> и текстовое поле рядом с ним.

что не так.

Я пытаюсь избежать подобных вещей из-за xss-атак.

также, если я попытаюсь добавить в span этот код:

';alert(String.fromCharCode(88,83,83))//\';alert(String.fromCharCode(88,83,83))//";alert(String.fromCharCode(88,83,83))//\";alert(String.fromCharCode(88,83,83))//--></SCRIPT>">'><SCRIPT>alert(String.fromCharCode(88,83,83))</SCRIPT>

чтобы проверить, работает ли xss ... я не получу никакой ошибки, так как использую htmlentities при обновлении страницы ...

поэтому я использую кнопку щелчка, текстовое поле появляется с этим внутри ... все хорошо, но когда я отменяю его, чтобы я мог видеть сообщение обратно, как оно было внутри промежутка ... всплывающие окна с предупреждением XSS ...

есть идеи как это решить?

Answer 1

Мне просто нужно было заменить html (), который затем заполнил диапазон текстом ().

Answer 2

Просто используйте текстовые узлы. (document.createTextNode(text here), чтобы создать его, а затем appendChild это как любой другой узел)