lenizMedlem sedan aug. 2001676 inlägg Är det möjligt för någon §e att på något vis få in ett annat värde i ett javascript som inkluderas på en sida där man i javascriptet använder
kontakt = document.getElementById("kontakt");
och
document.getElementById('kontakt2').innerHTML=kontakt2;
om värdet i kontakt och kontakt2 finns i koden på sidan där scriptet inkluderas?
Om man istället i samma javascript vill använda ett värde som postats genom ett formulär, hur måste man göra då för att skydda sig mot xss? Stämmer det att man bara kan tillåta a-z och 0-9 och inget annat?
Finns ingen säkerhet på klientsidan såklart. All validering måste ske på serversidan.
prplxrMedlem sedan juni 2012582 inlägg
leniz skrev:
Stämmer det att man bara kan tillåta a-z och 0-9 och inget annat?
Ja, det går bra med hjälp av regular expressions, men kom ihåg att det bara är själva värdet hos klienten som då valideras. Vad som faktiskt skickas iväg kan man alltid fippla med. Som tidigare person sade, det är ingen säkerhet att ha validering i javascript, använd server-side scripting till att istället kontrollera vad servern tar emot.
lenizMedlem sedan aug. 2001676 inlägg Tack för svar!
Funderar lite på det du skriver "vad som faktiskt skickas iväg kan man alltid fippla med".
Om jag har ett formulär där någon knappar in ett värde, sedan kollar jag att värdet bara innehåller a-z och 0-9 med regexp. Därefter anropar jag javascript funktionen med en "onclick" där jag skickar med värdet som jag har kontrollerat i regexp. Menar du att det ändå kan skickas iväg något annat värde då till javascript funktionen?
prplxrMedlem sedan juni 2012582 inlägg
leniz skrev:
Tack för svar!
Funderar lite på det du skriver "vad som faktiskt skickas iväg kan man alltid fippla med".
Om jag har ett formulär där någon knappar in ett värde, sedan kollar jag att värdet bara innehåller a-z och 0-9 med regexp. Därefter anropar jag javascript funktionen med en "onclick" där jag skickar med värdet som jag har kontrollerat i regexp. Menar du att det ändå kan skickas iväg något annat värde då till javascript funktionen?
Absolut.
Jag kan skapa ett likadant formulär som dig men på en egen sida, med samma fält och samma action och method. Då går jag ju förbi alla dina javascript och kan skicka data direkt till servern.
lenizMedlem sedan aug. 2001676 inlägg Är du säker på det? Att det alltså går att anropa javascript funktioner på andras hemsidor från sin egen hemsida? Jag googlade lite på det och hittade trådar i andra forum där det står att det inte går att göra så.
prplxrMedlem sedan juni 2012582 inlägg Du kan ALLTID göra ett POST eller GET-anrop till en hemsida, oavsett på vilken server den befinner sig. Du kan nog inte anropa en JavaScript-funktion, nej, men som sagt, det går bra att skicka vilka POST eller GET-anrop som helst. Sedan är det upp till servern hur den hanterar datan.
lenizMedlem sedan aug. 2001676 inlägg Jag tror du missförstod mig lite. Att man kan posta genom Post och Get till annan hemsida är jag fullt medveten om. Det jag funderade på här var anrop till Javascript funktioner från andra hemsidor.
Samt hur man ska hantera värden man får in på hemsidan genom post och get om man i ett steg 2 vill använda dem i ett javascript anrop på sidan. Jag tolkar det som att jag då om jag med reg exp kollar att det bara innehåller a-z och 0-9 vågar skicka det vidare i ett javascript anrop. Det finns inga andra tecken man kan tillåta?
