文章/答案/技术大牛

发布

社区首页 >问答首页 >如果我在引用的HTML属性中插入不受信任的数据并对“符号”进行编码，那么XSS是可能的吗？

问如果我在引用的HTML属性中插入不受信任的数据并对“符号”进行编码，那么XSS是可能的吗？
EN

Security用户

提问于 2015-08-13 07:57:54

回答 1查看 346关注 0票数 0

如果我在HTML属性中插入不受信任的数据，如下所示：

<img src="http://www.mydomain/<%untrusted_data%>">

如果我在不受信任的数据中对"符号进行编码，那么这个特定的代码是否被完全保护以防止XSS呢？我知道我应该小心，不要让用户插入整个URL，因为这样他们就可以插入javascript:alert()。

xss

回答 1

Security用户

回答已采纳

发布于 2015-08-13 08:06:19

是的，如果属性是双引号，而您正在编码双引号字符，那么就不可能从引用的属性中转义。

但是，我也会对&符号进行编码，因为它本身可以用来启动一个编码字符。

HTML5 5规范状态：

通过按以下顺序提供以下部分，将指定双引用属性值：

属性名
零或多个空格字符
一个"=“字符
零或多个空格字符
一个“”字
属性值
“字

除了属性值的一般要求外，双引号属性值还具有以下限制:不得包含任何文字“”字符。

票数 3

页面原文内容由Security提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://security.stackexchange.com/questions/96745

复制

在docker中安装phpmyadmin

phpmyadmin

其中，PMA_HOST和PMA_PORT填写的内容是MySQL数据库的地址和端口号

灯珑LoGin

2022/10/31

2.1K0

如何在 Go 中优雅的处理和返回错误（1）——函数内部的错误处理

go 微服务

在使用 Go 开发的后台服务中，对于错误处理，一直以来都有多种不同的方案，本文探讨并提出一种从服务内到服务外的错误传递、返回和回溯的完整方案，还请读者们一起讨论。

amc

2021/09/18

9.6K0

python查询mysql，返回json

python

import MySQLdb import json def getSql(): try: con = MySQLdb.connect(host='localhost', user='', passwd='', db='test', charset='utf8') cursor = con.cursor() sql = "select * from user" cursor.execute(sql)

py3study

2020/01/10

3.7K0

phpMyAdmin错误提示解决

phpmyadmin php 缓存编程算法

有些朋友打开phpMyAdmin出现这个的原因是 phpMyAdmin的安装目录, tmp目录不存在,或者存在但是权限不对,这是缓存目录,可以加快phpMyAdmin的运行,不会影响程序执行,就是强迫症看着受不了吧。

煎饼

2022/12/13

2.6K0

MySQL 在查询结果中记录行号

编程算法云数据库 SQL Server 其他数据库 sql

在其他的关系型数据库中，都有rownum这类型的内置函数来提供查询结果的行号，但是MySQL没有，阿福也一直觉得奇怪。

用户2353021

2020/05/09

6.9K0

【Laravel系列7.2】错误与异常处理

laravel php android 编程算法

在学习完 Laravel 中的日志处理模块之后，接下来马上就进入到错误和异常的学习中。其实通过之前 PHP 基础相关的学习，我们已经了解到 PHP7 中的大部分错误都已经可以通过异常来进行处理了，而我们的 Laravel 框架，基本全是通过异常来进行处理的。

硬核项目经理

2023/03/03

2.9K0

Laravel Exceptions——异常与错误处理

php laravel ruby on rails

本文 GitBook 地址：https://legacy.gitbook.com/book/leoyang90/laravel-source-analysis/details

码农编程进阶笔记

2021/07/20

2.1K0

解决Mysql在查询时报：1055分组查询错误的解决方法

windows sql

如果是Linux，就在配置文件（my.cnf）中修改 sql_mode 的配置（在/etc/my.cnf路径下）。如果是Windows，就修改配置文件my.ini，我的是Windows，如下所示：

星辰sea

2022/10/29

1.3K0

点击加载更多

相似问题

phpMyAdmin查询窗口中MySQL中IF语句返回错误

原始查询在phpmyadmin上有效，但在laravel上无效

Mysql查询显示phpmyadmin中的错误

MySQL查询运行在phpMyAdmin中，而不是在Laravel中。

MySQL查询缺少在phpMyAdmin中返回的节点-mysql中的结果

添加站长进交流群

领取专属 10元无门槛券

AI混元助手 在线答疑

关注 腾讯云开发者公众号

洞察 腾讯核心技术

剖析业界实践案例

问如果我在引用的HTML属性中插入不受信任的数据并对“符号”进行编码，那么XSS是可能的吗？
EN