Skip to main content
removeu 6 caracteres do conteúdo
Fonte Link
Syzoth
  • 100,5mil
  • 23
  • 169
  • 361
const texto = `<strong>Teste</strong> &amp; &gt; <img src="teste.jpg" onload="alert('ataque XSS');" onerror="alert('ataque XSS');">

&#128512; &#128516; &#128525; &#128151;
`;&#128151;`;

const parsed = new DOMParser().parseFromString(texto, "text/html");

console.log(parsed.body.textContent);
const texto = `<strong>Teste</strong> &amp; &gt; <img src="teste.jpg" onload="alert('ataque XSS');" onerror="alert('ataque XSS');">

&#128512; &#128516; &#128525; &#128151;
`;

const parsed = new DOMParser().parseFromString(texto, "text/html");

console.log(parsed.body.textContent);
const texto = `<strong>Teste</strong> &amp; &gt; <img src="teste.jpg" onload="alert('ataque XSS');" onerror="alert('ataque XSS');">

&#128512; &#128516; &#128525; &#128151;`;

const parsed = new DOMParser().parseFromString(texto, "text/html");

console.log(parsed.body.textContent);
adicionou 42 caracteres ao conteúdo
Fonte Link
Syzoth
  • 100,5mil
  • 23
  • 169
  • 361

Para evitar o XSS e facilitar o caminho em muito, você usar DOMParser.parseFromString assim conteúdos potencialmente perigosos não serão processados. Após o parse do HTML você pode remover todos atributos com prefixo on, tags <script> e diversos elementos desnecessários, seria melhor fazer uma lista de elementos permitidos ou pode simplesmente obter o conteúdo com textContent, que irá eliminar todo HTML e obter as entidades HTML já "processadas", podendo assim tratar uma strinng que possui quantidade de entidades variadas:

Para evitar o XSS e facilitar o caminho em muito, você usar DOMParser.parseFromString conteúdos potencialmente perigosos não serão processados. Após o parse do HTML você pode remover todos atributos com prefixo on, tags <script> e diversos elementos desnecessários, seria melhor fazer uma lista de elementos permitidos ou pode simplesmente obter o conteúdo com textContent, que irá eliminar todo HTML e obter as entidades HTML já "processadas":

Para evitar o XSS e facilitar o caminho em muito, você usar DOMParser.parseFromString assim conteúdos potencialmente perigosos não serão processados. Após o parse do HTML você pode remover todos atributos com prefixo on, tags <script> e diversos elementos desnecessários, seria melhor fazer uma lista de elementos permitidos ou pode simplesmente obter o conteúdo com textContent, que irá eliminar todo HTML e obter as entidades HTML já "processadas", podendo assim tratar uma strinng que possui quantidade de entidades variadas:

adicionou 42 caracteres ao conteúdo
Fonte Link
Syzoth
  • 100,5mil
  • 23
  • 169
  • 361

Também poderia usar String.fromCodePoint, mas só se for um código por vez, dessa forma você teria que fazer a leitura da string recebida um a um, obtendo a partir de &... até ; para cada entidade que deseja alterar e trocando a sequencia de caractere pelo valor correspondente do retorno de String.fromCodePoint, ou seja, só é mais eficiente usar isso se for para tratar algo bem simples, se for um texto grande, variado vai exigir escrever um longo script.

Também poderia usar String.fromCodePoint, mas só se for um código por vez, dessa forma você teria que fazer a leitura da string recebida um a um, obtendo a partir de &...; e trocando a sequencia de caractere pelo valor correspondente do retorno de String.fromCodePoint, ou seja, só é mais eficiente usar isso se for para tratar algo bem simples, se for um texto grande, variado vai exigir escrever um longo script.

Também poderia usar String.fromCodePoint, mas só se for um código por vez, dessa forma você teria que fazer a leitura da string recebida um a um, obtendo a partir de & até ; para cada entidade que deseja alterar e trocando a sequencia de caractere pelo valor correspondente do retorno de String.fromCodePoint, ou seja, só é mais eficiente usar isso se for para tratar algo bem simples, se for um texto grande, variado vai exigir escrever um longo script.

adicionou 1 caractere ao conteúdo
Fonte Link
Syzoth
  • 100,5mil
  • 23
  • 169
  • 361
Carregando
adicionou 470 caracteres ao conteúdo
Fonte Link
Syzoth
  • 100,5mil
  • 23
  • 169
  • 361
Carregando
adicionou 560 caracteres ao conteúdo
Fonte Link
Syzoth
  • 100,5mil
  • 23
  • 169
  • 361
Carregando
Readequação do código com relação um erro inicial de edição na pergunta.
Fonte Link
Augusto Vasques
  • 18,8mil
  • 10
  • 31
  • 62
Carregando
adicionou 1088 caracteres ao conteúdo
Fonte Link
Syzoth
  • 100,5mil
  • 23
  • 169
  • 361
Carregando
Fonte Link
Syzoth
  • 100,5mil
  • 23
  • 169
  • 361
Carregando