Snippet

Verhindern von Script-Injection bei dynamischen Link-Zielen

Das direkte Binden von benutzerdefinierten Zeichenketten an href-Attribute kann Cross-Site-Scripting (XSS) über das 'javascript:'-URI-Schema ermöglichen. Die Validierung des Protokolls in einer Computed Property stellt sicher, dass nur sichere http- und https-Protokolle an das DOM übergeben werden.

snippet.js

javascript

import { ref, computed } from 'vue';
 
const userProvidedUrl = ref('javascript:alert("xss")');
 
const sanitizedUrl = computed(() => {
  const target = userProvidedUrl.value.trim();
  const isSafeProtocol = target.startsWith('http://') || target.startsWith('https://');
  
  return isSafeProtocol ? target : '#';
});

vue

Erklärung

const userProvidedUrl = ref('javascript:alert("xss")');

Hält potenziell gefährliche, nicht vertrauenswürdige Benutzereingaben.

const isSafeProtocol = target.startsWith('http://') || target.startsWith('https://');

Überprüft, ob der Ziel-Link ausschließlich erlaubte Webprotokolle nutzt.

return isSafeProtocol ? target : '#';

Gibt die sichere URL zurück oder weicht auf '#' aus, um bösartige Skriptausführung zu verhindern.

Vorheriges Snippet Nächstes Snippet

Mehr JavaScript-Übungen für Anfänger →

Verhindern von Script-Injection bei dynamischen Link-Zielen

Verwandt