Как превратить HTML вместе с тегами в строку?

Question

[Noder SS]

Хочу защитить сайт от XSS атак, на данные момент если в форме писать теги либо стили, они принимаються, тем самым ломается сайт и можно вставить туда текст хоть font-size: 50px:

вместо

Как выводить их строкой, а не html кодом?
Данные, которые получаю и отправляю обернул в String(), но не помогло

Comments

[Одиночка Айс]

если в форме писать теги либо стили, они принимаються, тем самым ломается сайт и можно вставить туда текст хоть font-size: 50px:

и? вы их потом сохраняете и применяете на сайт?

Answer 1

[ivolkoff]

во входящей строке надо заменить спец символы на коды, например так

function escapeHtml(text) {
  return text
      .replace(/&/g, "&")
      .replace(/</g, "&lt;")
      .replace(/>/g, "&gt;")
      .replace(/"/g, "&quot;")
      .replace(/'/g, "&#039;");
}

Comments

[Noder SS]

Спасибо большое, работает!!

Answer 2

[Владимир Шаблий]

htmlspecialchars

Comments

[Noder SS]

Прописывать при сохранении? То есть как htmlspecialchars(input.value)?

[Владимир Шаблий]

Noder SS, да.

[Noder SS]

Не помогает

[Владимир Шаблий]

Noder SS, это вообще функция обертка для php. А вы думали защитить форму на уровне клиентского javascript?

[Noder SS]

Владимир Шаблий, сначало не дошло). Мне нужен вариант на node.js

[Владимир Шаблий]

Noder SS,

node.js

с этого и надо было начинать)
Попробуйте этот вариант.