Javascript 从提交的数据中缓解XSS攻击-是<；性格是所有攻击的核心？

我一直在仔细阅读，似乎大多数（所有？）基于用户输入的XSS攻击向量取决于成功提交<字符或其编码版本的能力。 根据OWASP文档，我找不到任何攻击向量可以绕过以某种方式注入<字符的需要。因此，如果输入过滤器检查并删除或替换用户提交数据中<的所有实例，XSS风险是否会得到缓解

具体地说，我要问的是，是否还有其他针对用户提交的数据的XSS攻击向量不依赖于<字符

显然，这并不能缓解SQL注入等问题，但这是另一个问题

---

谢谢你的意见

我不打算讨论这会阻止什么，但我将通过它解决一些问题

---

假设您的过滤器接受一个字符串，并返回一个包含所有

“已经了解XSS基础知识”的字符串。。。要点：P谢谢你详细而有用的回答！哈哈-当然，没有冒犯的意思。很高兴答案能帮上忙。当您正在寻找打破他人过滤器的方法，或者只是试图了解攻击者可以做什么时，规避备忘单非常有用。编写自己的过滤器时，这是一个困难的起点。这就像在你试图建造一堵墙时，翻阅罪犯用来翻过/穿过/钻过/钻过墙的工具清单一样。知道人们会尝试什么是很好的，但是首先你必须知道建造一堵墙的正确方法。
<div id="content" data-query="~injection-point~"></div>

<div id="content" data-query="q" onmouseover=alert('xss'); data-x=""></div>

var queryMsg = "you searched for: " + "~injection-point~";

var queryMsg = "you searched for: " + "q"; alert('xss'); var x="";