Javascript 当在引用的html属性中输出注入的代码时，是否可能利用XSS漏洞

如果我有这样一段HTML：

<div class=“feature-some-id”>

html通过express应用程序输出，如下所示：

res.render('my-template', {
  classNameSuffix: req.params.id
});

所以这是原始用户输入

---

攻击者有没有办法破解该脚本以执行脚本？

如果您可以将引号作为查询参数的一部分传入

?id=some-id"><script>alert()</script>

---

显然，您可以为任何要执行的代码更改

alert（）

。

如果您可以将引号作为查询参数的一部分传入

?id=some-id"><script>alert()</script>

---

显然，您可以为任何要执行的代码更改

alert（）

。

如果在制定类名时发布“保护”用户源内容的代码，会有很大帮助。为什么会有帮助？这与问题无关。我只是想知道，如果发生了这种情况，攻击者是否有办法将其转化为攻击。这很有帮助，因为您的代码有无数种方法可以组装HTML。有些可能易受攻击，有些可能不受攻击。@Pointy更新了问题。简而言之，没有任何保护，所以如果参数包含恶意代码，它会在输入时得到输出，而不会转义任何特殊字符。嗯，好的。你为什么要这样做？如果你在类名形成时发布“保护”用户原创内容的代码，那会有很大帮助。为什么会有帮助？这与问题无关。我只是想知道，如果发生了这种情况，攻击者是否有办法将其转化为攻击。这很有帮助，因为您的代码有无数种方法可以组装HTML。有些可能易受攻击，有些可能不受攻击。@Pointy更新了问题。简而言之，没有任何保护，所以如果参数包含恶意代码，它会在输入时得到输出，而不会转义任何特殊字符。嗯，好的。你为什么要这样做？这实际上给了我警报（）“>所以双引号被转义。不知道是否还有其他方法可以利用这一点，这实际上给了我警报（）”>所以双引号被转义。想知道是否还有其他方法可以利用这一点

<div class="feature-some-id"><script>alert()</script>