ExtJS渲染时移除标签并防范XSS攻击的实现方法

云原生阿岚

2026-7-22

如何避免记录和展示包含恶意代码的信息

输入校验与过滤：对所有用户输入做严格校验，用成熟的XSS过滤工具（比如DOMPurify）清理内容，删掉<script>、<iframe>这类危险标签，还有onclick、onload这类可触发执行的事件属性。比如在ExtJS的保存逻辑里，可以先净化用户输入：
```
// 示例：净化用户输入内容
const cleanContent = DOMPurify.sanitize(userInput);
// 再把净化后的内容存库或用于展示
```
内容转义处理：展示用户生成的内容时，把<、>、&这类特殊字符转成对应的HTML实体（比如<、>），让浏览器把这些内容当成纯文本解析，而不是可执行的代码。
白名单机制：只允许安全的HTML标签和属性通过，比如只放行<b>、<i>、<u>这类格式化标签，所有不在白名单里的标签、属性一律拦截，从根源上堵死恶意代码注入的路子。
权限分级管控：限制用户输入内容的权限，像自定义HTML这种高风险操作只开放给可信用户，普通用户只提供纯文本输入选项。
实时风险扫描：在内容提交和展示的环节加恶意代码扫描，用病毒扫描API或者规则引擎检测XSS、SQL注入这类常见恶意片段，发现风险直接拦截。