Question

前端javascript验证函数防止注入效果如何?

前端javascript验证函数防止注入效果如何?

前端验证可以在提交表单前就判断出危险字符,这样方便用户又让服务器不需要做没必要的处理.

有人说这个的前端验证可以被跳过,我也知道，但是加个Request.ServerVariables("HTTP_REFERER")验证提交的信息来源这样我想就安全了吧?是不是这样?

Answer 1

用javascript 客户端验证过滤危险字符，看似可行，其实不然～～！楼主所说的用REQUEST.SERVERVARIABLES("....")方法验证提交来源这个是不起任何作用的。

只要把提交的数据包抓下来修改之后，用NC提交，（以前的上传漏洞通用做法）服务端是判断不出来的。所以要防止注入必须在服务端进行处理才行。

Answer 2

用 JavaScript 防注入是什么人想出来的倒霉主意 ...

JavaScript 是运行在客户端的 ... 可以被客户自由修改 ...

于是用 JavaScript 防止注入可以说是完全没有用 ...