填充至HTML input value的用户提交数据是否必须转义？

该场景存在明确的存储型XSS安全风险。

风险产生的核心原因是：从数据库取出的未处理字符串被直接拼接进HTML代码的<input>标签value属性中，没有做任何输出转义。恶意用户可以构造特殊输入突破value属性的边界，注入可执行的前端脚本。
举个实际的攻击示例：如果用户提交的输入字符串是"><script>窃取用户Cookie并发送至攻击者服务器</script>，最终生成的HTML会变为：
<input type="text" name="data" value=""><script>窃取用户Cookie并发送至攻击者服务器</script>" />
此时脚本会被浏览器直接执行，用户的Cookie、页面敏感数据会被恶意窃取。就算没有使用尖括号闭合标签，构造" onfocus="alert(1)这类输入，只要用户聚焦到对应输入框，也会触发恶意脚本执行。

要在保障安全的前提下最小程度改动原始输入内容，核心原则是不在输入存入数据库的阶段做暴力过滤或转义，只在内容输出到具体HTML位置时，针对当前的输出上下文做精准的实体转义。

• 为什么不推荐在存储阶段处理？如果在写入数据库时就强制删除、转义所有特殊字符，会永久改动用户的原始输入内容——比如用户本来要存储的技术笔记中提到的<div>标签、带引号的备注内容，都会被修改得面目全非，既不满足“最小改动”的要求，也无法适配同一段内容未来可能要输出到JS代码块、纯文本展示、其他交互场景的差异化需求。
• 针对当前“输出到input的value属性”的具体场景，只需要对会破坏HTML属性边界的特殊字符做标准HTML实体编码即可，需要编码的字符包括：
  • 双引号 " 编码为 "
  • 单引号 ' 编码为 '
  • 小于号 < 编码为 <
  • 大于号 > 编码为 >
  • 与符号 & 编码为 &

这种处理方式的优势是：浏览器渲染HTML时，会自动把这些实体编码还原为对应的原始字符展示在输入框中，用户看到的内容和自己当初输入的完全一致，没有任何感知上的改动；同时编码后的内容永远不会突破value属性的边界，完全阻断XSS注入的可能。
对应的代码改动量极小，仅需在输出字符串时通过标准转义方法处理即可，例如PHP环境下使用htmlspecialchars函数：

$string = // 从数据库取出的原始字符串
<input type="text" name="data" value="<?= htmlspecialchars($string, ENT_QUOTES, 'UTF-8') ?>" />

内容的提问来源于stack exchange，提问作者Daniel Krenn