V2EX › onice 的所有回复 › 第 2 页 / 共 58 页

拔掉拓展坞开机，进入桌面后再插拓展坞就好了。

适配器接拓展坞，拓展坞再接笔记本电源接口，最好别这么做。拓展坞没有过载保护，我电脑和你同型号，，这几天刚换了主板。

售后说是适配器坏了，导致主板损坏。如果是适配器接电脑，由于适配器有过载保护，是不会损坏主板的。但由于接拓展坞了，拓展坞没过载保护，所以主板损坏了。

166 天前

回复了 yaott2020 创建的主题 › Linux › 你倾向于哪个 Linux 桌面发行版？

Either ubuntu or linux mint.

167 天前

回复了 Forviler 创建的主题 › JavaScript › 今天被测试发了一个 xss 漏洞，之前明明做过 xss 过滤的，很纳闷的看了一下

@Forviler 攻击者也是我们的用户之一，，只不过是不怀好意的用户。所以，我们可以把攻击者看成是正常用户。那么，用户输入的数据，我们肯定不能破坏。例如用户输入 abc ，我们不能为了安全把数据改成 bcd 。所以，实体编码是个好办法。用户输入的数据，关键点在于攻击者输入的数据包含恶意代码，所以用实体编码我们既能让用户输入的数据原样显示在浏览器中，又能让即使是包含了恶意代码的数据不被浏览器解析。

那么我使用富文本的时候是必须要将数据当作代码来进行解析的，所以是不能进行实体编码的操作的么，因为浏览器会把它当作文本来显示。

至于富文本，你说得对，的确是这样子。富文本的业务场景下，我们必须要让浏览器解析用户输入的数据。所以实体编码后，富文本的输入数据不被解析，代码就会原封不动的显示在浏览器中。用户的格式设置就会失效，例如文本背景，字体加粗，图片等。

富文本的场景下宜采用白名单的方式。只允许用户输入特定的 HTML 标签，对用户的输入的数据要严格限制。

167 天前

回复了 Forviler 创建的主题 › JavaScript › 今天被测试发了一个 xss 漏洞，之前明明做过 xss 过滤的，很纳闷的看了一下

@Forviler
针对你当前的场景：

document.getElementById('rf').innerHTML= `<img/src=1 >` ; edge 下会显示为文本
document.getElementById('rd').innerHTML = `<img/src=1 >`; edge 下显示为标签

假如攻击者的代码为：<img/src=1 >，，你在代码中转为<img/src=1 >后，这就是消毒的操作。浏览器页面中会显示<img/src=1 >，但其实浏览器把显示的<img/src=1 >当成<img/src=1 >处理。这么一来，浏览器就不会真的把这串代码当成 img 标签进行渲染了。这样既能够不破坏用户输入的数据，又能够保障代码的安全（不被解析成 js 代码）。

document.getElementById('rd').innerHTML = `<img/src=1 >`; edge 下显示为标签
这个就是危险的。假如攻击者的攻击代码为：<img/src=1 onerror="alert(xss)">，，由于没有进行编码，这个代码会被当成 js 处理，，浏览器会加载图片，但由于 url 不存在，图片加载失败，触发 onerror 事件，执行 alert 弹窗代码。当然这里仅仅是测试，alert 并不具备危害。但是如果 alert 是窃取 cookie 的代码，这可就危险了。

1 2 3 4 5 6 7 8 9 10 ... 58

❮

❯