js如何防止html注入攻击

使用内容安全策略（CSP），对输入进行有效的验证和过滤，避免使用内联脚本，使用安全的库和框架，定期更新系统和软件。

防止HTML注入攻击的方法

1. 数据验证和过滤

对用户输入的数据进行验证和过滤，确保数据符合预期格式，可以使用正则表达式或自定义函数检查输入数据是否包含非法字符或标签。

function validateInput(input) {
  // 使用正则表达式检查输入是否包含非法字符或标签
  const regex = /<[^>]*>/g;
  return !regex.test(input);
}

2. 转义特殊字符

将用户输入中的特殊字符（如<, >, &, "等）转换为相应的实体字符，以防止浏览器解析为HTML标签。

function escapeHtml(input) {
  return input.replace(/&/g, '&').replace(//g, '>').replace(/"/g, '"');
}

3. 使用安全库

使用安全的JavaScript库，如DOMPurify，来清理用户输入，防止XSS攻击。

function cleanInput(input) {
  return DOMPurify.sanitize(input);
}

4. 设置Content Security Policy (CSP)

通过设置HTTP响应头中的Content-Security-Policy，限制浏览器加载外部资源，降低XSS攻击的风险。

5. 避免使用内联事件处理器

不要在HTML元素上使用内联事件处理器，如onclick、onerror等，因为这可能导致恶意代码执行。