XSS攻击问题-关于URL

Question

老师，如果在进行URL传值得时候对URL做encodeURIComponent ，在接收的时候decodeURIComponent，是不是也可以防止XSS攻击呢？

Answer 1

TooooBug 2017-07-28 18:08:38

不能。因为XSS攻击的重点不在于传输过程中有没有转义，而在最后输出的时候有没有转义。如果我传一段脚本，它直接显示出来，这是XSS，如果我做了某种encode，但是显示的时候又decode了，那实际上相当于啥也没做。

Answer 2

TooooBug 2017-07-28 18:09:32

SQL注入也是同样原理，只要在拼接SQL的时候是用的原来的值，不管传输过程有没有转义，都没有防御作用。