用户评论直接输出到页面，没做过滤，被人塞了偷cookie的JS代码

之前做评论功能，用户提交的评论内容，我直接输出到页面上，没有做任何过滤，结果有个人在评论里塞了一段偷cookie的JS代码，只要别的用户打开这个页面，JS就会把用户的登录cookie偷偷发到他的服务器，等于别人能直接用cookie登进用户账号。我当时发现的时候，已经有十几个用户的cookie被偷走了，赶紧把这段评论删了，给所有用户重置了密码。 从那之后我所有从用户那边收的输入，输出到页面之前全做HTML转义，把脚本标签、特殊字符全过滤掉，再也不直接输出用户提交的内容，从根上堵住XSS漏洞。很多新手做评论、留言功能，直接把用户输入输出到页面，觉得没什么，结果被人塞恶意JS，偷用户的登录信息，出了大事才后悔。 真的，只要是用户提交的内容，输出到页面之前必须做转义过滤，别图省事直接输出，不然XSS漏洞分分钟被人利用，偷用户数据、挂黑链，全是这么来的。