如何在jQuery的AJAX请求前安全清理表单输入字段？

先直接说你当前做法里的几个问题：

1. 你用了require('sanitize-html')，但这是Node.js专属模块，浏览器环境下直接这么写会报错，得用CDN引入或者打包工具处理才行。
2. 不是所有字段都适合用sanitize-html处理，甚至有些字段绝对不能碰：
   • 密码字段：sanitize会删掉特殊字符，用户密码里如果包含这类字符，处理后直接就登不上了，绝对不能对密码做任何清理操作。
   • nonce字段：这是后端生成的验证串，格式固定，你一sanitize很可能把它改坏，导致验证失败。
   • remember字段：一般是勾选状态，应该转成固定的布尔值或字符串（比如"yes"/"no"），而非做HTML清理。
   • 用户名：如果允许带特殊字符，sanitize会误删；如果有格式要求，不如用正则做字符范围校验——登录场景下的渲染安全后端会处理，前端没必要做HTML sanitize。

优化后的前端处理方案 #

第一步：若确实要用sanitize-html，先正确引入 #

在你的HTML里先添加这个CDN脚本（用最新稳定版）：

<script src="https://cdn.jsdelivr.net/npm/sanitize-html@2.11.0/dist/sanitize-html.min.js"></script>

之后用全局的sanitizeHtml方法，不是你写的sanitize。

第二步：针对性处理每个字段 #

jQuery(document).ready(function($) {
   $('#login-form').submit(function(e) {
        e.preventDefault();
        var form = $(this);
        
        // 用户名：仅做首尾空格去除，有格式要求可加正则校验
        var username = $.trim(form.find('#username').val());
        // 密码：直接拿原始值，啥也别改
        var password = form.find('#password').val();
        // remember：转成固定格式取值，避免乱传值
        var remember = form.find('#remember').is(':checked') ? 'yes' : 'no';
        // nonce：直接获取原始值，别动它
        var nonce = form.find('input[name="nonce"]').val();

        // 前端基础校验，减少无效请求
        if (!username || !password) {
            $('#login-form-message').html('请填写完整的用户名和密码');
            return;
        }

        var data = {
            'action': 'login',
            'username': username,
            'password': password,
            'remember': remember,
            'nonce': nonce
        };

        $.ajax({
            type: 'POST',
            url: '<?php echo admin_url( 'admin-ajax.php' ); ?>',
            data: data,
            success: function(response) {
                if (response.success) {
                    location.reload();
                } else {
                    $('#login-form-message').html(response.data.message);
                }
            }
        });
    });
});

必须记住的安全重点 #

• 前端处理只是辅助，后端验证才是安全核心：所有输入到后端后，必须再做一次严格校验——用户名格式检查、密码哈希验证、nonce有效性校验，永远别信任前端传过来的数据。
• 密码绝对不能做任何字符修改，后端直接拿原始密码去和存储的哈希值比对即可。
• nonce是防CSRF的关键，后端要确保它有过期时间，前端别瞎改，后端一定要校验它的有效性。

内容的提问来源于stack exchange，提问作者Snorlax