javascript - 關於過濾使用者輸入的程式碼<script>alert(0)</script>

Question

想請問一下，如果使用者輸入代碼指令，該怎麼給過濾掉效果呢？例如使用者提交 這句話，需要提交刀後台，再前台顯示，但是前台顯示的話肯定會執行alert，該怎麼過濾掉讓他直接顯示呢？大神幫忙看看~

Answer 1

php 的 htmlspecialchars()
前端
`function htmlspecialchars(str)
{

str = str.replace(/&/g, '&');  
str = str.replace(/</g, '<');  
str = str.replace(/>/g, '>');  
str = str.replace(/"/g, '&quot;');  
str = str.replace(/'/g, '&#039;');  
return str;  

} `

Answer 2

php 的 htmlspecialchars()

Answer 3

兩個地方過濾，一個是用戶輸入存入資料庫的時候就過濾，一個是顯示的時候再過濾，過濾的方法就是htmlspecialchars()，我個人比較傾向於顯示的時候再過濾，保證用戶輸入的原始數據的準確性