新手防XSS最基础方法：用户输入先转义，别直接输出到页面

很多新手做网站，用户能提交评论、留言，结果网站被人注入了恶意JS，弹广告、偷cookie，这就是XSS攻击，今天说一下新手怎么防最基础的XSS。

什么是XSS

就是用户提交的内容里，藏了一段恶意JS代码，你直接把这段代码显示在网页上，浏览器执行了这段代码，就能偷你的登录信息、改你的网页内容。

怎么防最简单

所有用户提交的内容，输出到网页的时候，先做转义，把< >这些HTML特殊字符转义掉，浏览器看到的就是普通文字，不会执行里面的代码。不管是PHP、Node、Python写的后端，都自带转义函数，别直接把用户输入原封不动输出到页面上。

新手容易犯的错

为了让用户评论能换行，直接把用户输入原封不动显示在页面上，连HTML都不转义，这就等于敞开大门让人注入脚本。还有富文本编辑器，一定要做白名单过滤，只允许简单的文字、图片标签，别允许script标签。

不用学复杂的安全原理，就记住一点：用户输入的内容，绝对不能直接信任，输出前先转义，就能挡住90%的XSS攻击。