jQuery XSS漏洞利用：如何防止用户输入被直接渲染导致攻击？

Question

**如何防止jQuery中用户输入被直接渲染导致XSS攻击？** 在使用jQuery时，如果直接通过`.html()`或类似方法将用户输入插入DOM，可能会引发XSS（跨站脚本攻击）。例如：`$('#element').html(userInput);`，这里的`userInput`可能包含恶意脚本代码。 要防止这种攻击，可以采用以下方法： 1. 使用`.text()`代替`.html()`，确保输入内容被转义为纯文本。 2. 对用户输入进行严格验证和过滤，移除潜在的HTML标签或脚本。 3. 借助安全库（如DOMPurify）对输入内容进行清理，保留安全的HTML结构。 例如：`$('#element').text(escapeHtml(userInput));` 或结合DOMPurify：`$('#element').html(DOMPurify.sanitize(userInput));`。 以上方法能有效避免因用户输入直接渲染带来的XSS风险。