如何禁止用户在浏览器地址栏输入 JS代码，对网页进行一些恶意的操作控制

Question

禁止用户在浏览器地址栏输入JS对网页控制，但却不会影响本来原有的网页中JS运行

Answer 1

其实你不需要担心用户在地址栏输入 JavaScript 代码，如果代码对网页结构造成影响，那只对此用户生效，对其它用户没有影响。

现在有的浏览器直接过滤以 javascript: 开头的网址，大部分浏览器也都有相关选项。

就算用户不在地址栏输入 JavaScript 代码，也可以通过其它途径，例如 Firebug，直接对网站进行修改，不过都是针对此用户而言。

最关键的问题是永远不要信任 JavaScript，后台程序的二次验证是必须有的。

你可以 Google 一下 javascript xss 或者 javascript address bar injection，不需要英文有多好，打开页面里面有很多例子。敏感的代码打在这里容易被弊。

Answer 2

你问的问题本身就有问题，浏览器属于浏览器端，你能控制人家在浏览器中输入什么东西吗，你唯一能做的就是在后台过滤请求中的js标签或者html标签，将这些标签过滤掉，从而不影响你的程序追问

我有想过这样做，但自己能JS小白

能举一个例子么。

追答

这个跟js没关系，你要能想到用户可能在浏览器中输入任何东西或者向你的网站提交东西的时候可能会提交一些恶意的东西或者代码，然后在后台程序中加一个过滤器，如果过滤到了这些东西就将这些东西过滤掉，以免对你的程序有影响，用户在浏览器端怎么改都无所谓了

Answer 3

表示没有听说过。。 应该是不可以的。
make下等待高手解答