javascript - 从输入脚本中删除 javascript 字符 (' "\&) 是否可以防止 XSS？

Question

我有以下 html 输入字符串

<p><script>alert("hi")</script></p>
<img src=x:alert('xss') height= "20" width ="40" onerror=eval(src) alt="xssdemo"</img>

完全删除这些字符可以防止 XSS 弹出窗口，而不是使用反斜杠('\')转义字符(' "& )？

基本上在这里我不想使用传统的\转义，因为它会破坏 html 格式。我正在考虑完全删除 Angular 色本身。 例如:高度=“20”。

Answer 1

没有。反例:

<img src=nothing onerror=document.title++>

事实上，您也可以通过这种方式执行一些任意代码，只要您将其转换为 JSFuck事先。