使用javascript/mootools进行输入清理?
我最近继承了一个大型网站。我一直在检查它的安全漏洞 我有以下代码,当用户提交对其用户详细信息的更新时调用该代码:使用javascript/mootools进行输入清理?,javascript,asp.net,mootools,Javascript,Asp.net,Mootools,我最近继承了一个大型网站。我一直在检查它的安全漏洞 我有以下代码,当用户提交对其用户详细信息的更新时调用该代码: // Ajax request new Request.JSON({ method: 'get', url: 'ajax.ashx', autoCancel: true, urlEncoded: false, secure: false, headers: { "Content-type": "application/json" }, onSuccess: funct
// Ajax request
new Request.JSON({ method: 'get', url: 'ajax.ashx', autoCancel: true, urlEncoded: false, secure: false,
headers: { "Content-type": "application/json" },
onSuccess: function (_json) {
if (!_json.error) {
$('inp_firstname').value = _json.fn;
$('inp_surname').value = _json.sn;
$('usr_Country').value = $(ddlCountry0).getSelected()[0].get('text');
$('inp_companyname').value = _json.cn;
$('inp_website').value = _json.ws;
$('inp_facebook').value = _json.fb;
$('inp_twitter').value = _json.tw;
$('bus_Activity').value = $(ddlActivity0).getSelected()[0].get('text');
$('private_contacts').value = $(chkPrivateContacts).checked;
hidePopup('editDetailsPopup');
}
}
}).get({ 'm': 'editDetailsPro',
'fn': removeTags($('firstname').value),
'sn': removeTags($('surname').value),
'pwd': removeTags($('password').value),
'country': $(ddlCountry0).getSelected()[0].get('value'),
'cn': removeTags($('companyname').value),
'ws': removeTags($('website').value),
'ac': $(ddlActivity0).getSelected()[0].get('value'),
'pc': $(chkPrivateContacts).checked == 1,
'fb': removeTags($('facebooklink').value),
'tw': removeTags($('twitterlink').value) });
结果是函数removeTags()代码>什么都不做。也没有输入的服务器端验证,因此这是一个很大的安全漏洞
我需要检查客户端什么来确保合法用户可以输入他们的数据,是否有库函数可以为我执行所有这些检查(我找不到任何)?当它到达服务器时,我是将其恢复为原始形式,还是按原样将其粘贴到数据库中 MooTools有stripTags
方法,我想这就是你想要的:
我是否可以补充一点,您应该永远不要单独执行JavaScript清理?始终对传入的用户输入执行服务器端验证和清理。在使用ASP.NET时,请检查以下链接:
MooTools有
stripTags
方法,我想这就是您想要的:
我是否可以补充一点,您应该永远不要单独执行JavaScript清理?始终对传入的用户输入执行服务器端验证和清理。在使用ASP.NET时,请检查以下链接:
您不应该依赖客户端验证。这很好,因此您可以在将不正确的数据发送到服务器之前提醒用户,但您还需要服务器端验证。Javascript可能被禁用,或者恶意用户可能只是向您的服务器发送包含有害数据的请求(不使用您的页面,因此不进行安全检查)。您不应该依赖客户端验证。这很好,因此您可以在将不正确的数据发送到服务器之前提醒用户,但您还需要服务器端验证。Javascript可能被禁用,或者恶意用户可能只是向您的服务器发送包含有害数据的请求(不使用您的页面,因此不进行安全检查)