V2EX › SilentDepth 的所有回复 › 第 14 页 / 共 76 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 ... 10 11 12 13 14 15 16 17 18 19 ... 76

❮

❯

2020-04-24 17:27:32 +08:00

回复了 tctc4869 创建的主题 › JavaScript › 防止 xss 和 sql 注入而进行非法字符过滤， js 前端有什么几乎一劳永逸的方式？

@u823tg #88 赌五毛是因为懒（

2020-04-24 17:20:05 +08:00

回复了 tctc4869 创建的主题 › JavaScript › 防止 xss 和 sql 注入而进行非法字符过滤， js 前端有什么几乎一劳永逸的方式？

@moonlord #86 大兄弟，你的思想很危险……😏

2020-04-24 17:15:17 +08:00

回复了 tctc4869 创建的主题 › JavaScript › 防止 xss 和 sql 注入而进行非法字符过滤， js 前端有什么几乎一劳永逸的方式？

@moonlord #83 一劳永逸也得看需求啊。「如何一劳永逸地解决人口太多粮食不够吃的问题」，难道你的方案是别生孩子吗😓。本来我也觉得这个问题不至于讨论成这样……

另外，结合上面那位朋友提供的 API 来看，V2EX 压根儿也没限制你输入什么，谈不上「只允许你输入文本」。

2020-04-24 17:00:51 +08:00

回复了 tctc4869 创建的主题 › JavaScript › 防止 xss 和 sql 注入而进行非法字符过滤， js 前端有什么几乎一劳永逸的方式？

@skyRival #77 我这儿 V2EX plus 插件貌似 bug 了，解析不出会话，我就不手动追溯你们的对话了。如果允许的富文本类型是有限的，转成 Markdown 再渲染出来是可行的。如果不是（例如允许用户插入 Gist 组件），要么做复杂的格式转换（高开发成本但更可控），要么直出 HTML 然后走传统的 XSS 处理（低开发成本但难可控）。

2020-04-24 16:56:06 +08:00

回复了 tctc4869 创建的主题 › JavaScript › 防止 xss 和 sql 注入而进行非法字符过滤， js 前端有什么几乎一劳永逸的方式？

@moonlord
我概括一下你在 #10 的观点：对于用户输入的内容，一律作为文本节点处理，不要创建 HTML 元素。

首先，没错，这样是可以防止 XSS 。如果业务需求上本不需要用户提供 HTML 结构，这么做没问题。但就是有用户直接提供 HTML 的需求场景啊，这个时候你的这个办法是行不通的。最简单的做法就是 tag name 白名单 + 转义字符（或过滤），我不认为这个办法是「错误」的。

另外，对于后端渲染页面的场景（例如 V2EX，如果我没猜错的话），你要怎么把用户内容精确控制到文本节点内？还是得转义啊。

所以你们到底在争什么……

2020-04-24 16:47:14 +08:00

回复了 tctc4869 创建的主题 › JavaScript › 防止 xss 和 sql 注入而进行非法字符过滤， js 前端有什么几乎一劳永逸的方式？

@moonlord #70 10 楼的内容我看了啊，所以我在问如果有渲染用户 HTML 要怎么办。以及，大概我们对转义逻辑的理解不同，没说到一件事情上。

2020-04-24 16:45:18 +08:00

回复了 waiaan 创建的主题 › 前端开发 › ie8 下有什么工程化、模块化开发的方案？

IE8 很古老了，不要用现代 JS 的语法和 API 。.browserslist.rc 里加上 ie >= 8，然后引入 babel-polyfill

2020-04-24 16:43:26 +08:00

回复了 tctc4869 创建的主题 › JavaScript › 防止 xss 和 sql 注入而进行非法字符过滤， js 前端有什么几乎一劳永逸的方式？

你们在争什么呢……V2EX 的页面是后端渲染的吧，那不转义字符可咋办

2020-04-24 16:37:38 +08:00

回复了 tctc4869 创建的主题 › JavaScript › 防止 xss 和 sql 注入而进行非法字符过滤， js 前端有什么几乎一劳永逸的方式？

@moonlord #10 楼主貌似没提到具体需求？禁止 innerHTML 的话，我需要渲染用户自定义 HTML 怎么办？

2020-04-24 16:34:39 +08:00

回复了 waiaan 创建的主题 › 前端开发 › ie8 下有什么工程化、模块化开发的方案？

粗略地想了一下貌似没什么需要特别注意的？你遇到啥问题了？

2020-04-24 16:31:55 +08:00

回复了 tctc4869 创建的主题 › JavaScript › 防止 xss 和 sql 注入而进行非法字符过滤， js 前端有什么几乎一劳永逸的方式？

不就是个字符转义的事儿，怎么看你们讨论得那么热闹……

2020-04-24 14:29:39 +08:00

回复了 youcanwin8099 创建的主题 › Vue.js › 前后端分离，前端一定要用 NVVM 之类的,比如 vue/react 东西吗？

@chingli #79 VDOM 层的内存占用可以忽略（除非是需要锱铢必较的场景）。如果你的 JSON 结构与 DOM 结构对应性很高，为什么不把 diff 的过程交给 VDOM 来完成呢？综合性能很可能比你手写的高。

2020-04-24 13:31:53 +08:00

回复了 youcanwin8099 创建的主题 › Vue.js › 前后端分离，前端一定要用 NVVM 之类的,比如 vue/react 东西吗？

@youcanwin8099 #76 术业有专攻，现在的前端自成一个庞大的体系，就跟后端自成一个庞大的体系一样（不然怎么还会有「前端架构师」这么个职位）。「做过很多年的前端……要花很长时间……又不说（更好的方案）」，恕我直言，这同志水平不行。如果这个项目已经用了 Ant Design + Vue，我可以很负责任地告诉你，这个开始没有毛病。接下来，逢山开路遇水架桥，有问题一个个解决便是。这时候改换技术栈反而更有风险。

2020-04-24 13:27:41 +08:00

回复了 youcanwin8099 创建的主题 › Vue.js › 前后端分离，前端一定要用 NVVM 之类的,比如 vue/react 东西吗？

@youcanwin8099 #74
使用 Vue 或 React 不算赶时髦啊。比如 Java 应用开发，用 SpringBoot 怎么就算赶时髦了呢。即便从成本角度去考虑，jQuery 要求使用者手动完成 DOM 树的构建，维护成本反而比 Vue 或 React 高。
现代前端开发基本上都需要发布前构建的（有它的固有需求在，你不能单纯把它看做耗时成本）。如果你不想引入前端构建流程，那用不用 Webpack 区别不大，同时还要注意不要使用 ES6+ 特性（如果你需要支持 IE ）、处理好依赖的引入次序。

2020-04-24 12:29:54 +08:00

回复了 dartabe 创建的主题 › 设计 › 请教一下，这种带边框的像素风的图是怎么画出来的呢？

@dartabe #13 钢笔勾出矩形，线条宽度靠 stroke width 调整

2020-04-24 12:24:21 +08:00

回复了 dartabe 创建的主题 › 设计 › 请教一下，这种带边框的像素风的图是怎么画出来的呢？

@dartabe #11 工具？那任何矢量绘图软件都可以啊，PS 、AI 、Sketch 都可以（不就是一堆矩形嘛）。甚至手写 SVG 也不难。

2020-04-24 09:59:04 +08:00

回复了 wework 创建的主题 › 前端开发 › 大家平时在什么场景里用 flexbox 布局？

@autoxbc #45 历史沉淀下来的样式吧

2020-04-24 09:56:54 +08:00

回复了 youcanwin8099 创建的主题 › Vue.js › 前后端分离，前端一定要用 NVVM 之类的,比如 vue/react 东西吗？

@youcanwin8099 #66 决定用 jQuery 的话，要什么 Webpack，Parcel 多香～