Javascript 使用URL从隐藏字段XSS调用AJAX安全吗？
在jQuery中这样做是否安全Javascript 使用URL从隐藏字段XSS调用AJAX安全吗？,javascript,jquery,xss,Javascript,Jquery,Xss,在jQuery中这样做是否安全 <html> ... <input type="text" id="message" value="" /> <input type="hidden" id="url" name="url" value="http://www.mysite.com/ajax-server-code" /> <script> var url = $('#url'); $.ajax({ url: url, data
<html>
...
<input type="text" id="message" value="" />
<input type="hidden" id="url" name="url" value="http://www.mysite.com/ajax-server-code" />
<script>
var url = $('#url');
$.ajax({
url: url,
dataType: 'json',
success: function(data) {
$('message').html(data.message);
}
});
</script>
...
</html>
...
var url=$（“#url”）；
$.ajax({
url:url，
数据类型：“json”，
成功：功能（数据）{
$（'message'）.html（data.message）；
}
});
...
- 使用隐藏字段知道要调用哪个ajax URL
- 将Ajax调用到URL
- 使用此数据更改DOM
- 是的，那很好。我看不出XSS有任何问题。无论如何，在Firefox中，DOM是可以使用DOM Inspector进行编辑的，所以你永远不应该相信浏览器会做或者拥有你认为应该做的事情。检查您收到的任何数据。这将不起作用，因为您的变量“url”不包含正确的url，但它包含隐藏元素。将其更改为
var url=$（'#url'）.val（）