如果把评论提交的‘<’，‘"’，‘>’，‘&’都转码为&lt;&gt;%22&;&amp;之类的，是不是就可以防止 xxs。

[huahsiung]

博客的评论，如果过滤关键词 script,onerror 等等可能会误判。
‘<’，‘"’，‘>’，‘&’转码为
&lt;&gt;%22;&amp;

感觉转码这四个，应该就稳了。

[vigossliao]

用现成库应该省事多了

https://github.com/leizongmin/js-xss

[jsq2627]

现在浏览器有原生 HTML Sanitizer 了
https://developer.mozilla.org/en-US/docs/Web/API/HTML_Sanitizer_API

[agagega]

如果只需要展示纯文本的话，用 innerText 不就行了？

[hgc81538]

應該轉碼&<>"'去&amp;&lt;&gt;&quot;&#039;就穩了

[ysc3839]

可能不止这几个字符，建议直接使用现成的 html 转义库

[rabbbit]

https://github.com/cure53/DOMPurify

[xiangyuecn]

onclick='alert(1)'

[xiangyuecn]

不用白名单，直接全部 ASCII 字符除了换行字母数字全部用 &#123; 转义完事