本文目录一览：
xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的 *** 有哪些
对于的用户输入中出现XSS漏洞的问题，主要是由于开发人员对XSS了解不足，安全的意识不够造成的。现在让我们来普及一下XSS的一些常识，以后在开发的时候，每当有用户输入的内容时，都要加倍小心。请记住两条原则：过滤输入和转义输出。
一、什么是XSS
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。
在WEB2.0时代，强调的是互动，使得用户输入信息的机会大增，在这个情况下，我们作为开发者，在开发的时候，要提高警惕。
二、XSS攻击的主要途径
XSS攻击 *** 只是利用HTML的属性，作各种的尝试，找出注入的 *** 。现在对三种主要方式进行分析。
之一种：对普通的用户输入，页面原样内容输出。
打开(限公司IP)，输 入：scriptalert(‘xss’)/script， *** 脚本顺利执行。当攻击者找到这种 *** 后，就可以传播这种链接格式的链接 （）如：http: //go.ent.163.com/goproducttest/test.jsp?key=scriptalert(‘xss’) lt;/script，并对 *** CODE做适当伪装，如：
%74%3e%61%6c%65%72%74%28%27%78%73%73%27%29%3c%2f%73%63%72%69%70%74%3e,当其 它用户当点此链接的时候， *** 就运行了，造成的后果会很严重，如跳去一个有木马的页面、取得登陆用户的COOKIE等。
第二种：在代码区里有用户输入的内容
原则就是，代码区中，绝对不应含有用户输入的东西。
第三种：允许用户输入HTML标签的页面。
用户可以提交一些自定义的HTML代码，这种情况是最危险的。因为，IE浏览器默认采用的是UNICODE编码，HTML编码可以用ASCII方式来写，又可以使用”/”连接16进制字符串来写，使得过滤变得异常复杂，如下面的四个例子，都可以在IE中运行。
1，直接使用 *** 脚本。
img src=”javascript:alert(‘xss’)” /
2，对 *** 脚本进行转码。
img src=”javascript:alert(‘xss’)” /
3，利用标签的触发条件插入代码并进行转码。
img onerror=”alert(‘xss’)” /
4，使用16进制来写(可以在傲游中运行)
img STYLE=”background-image: /75/72/6c/28/6a/61/76/61/73/63/72/69/70/74/3a/61/6c/65/72/74/28/27/58/53/53/27/29/29″
以上写法等于img STYLE=”background-image: url(javascript:alert(‘XSS’))”
三、XSS攻击解决办法
请记住两条原则：过滤输入和转义输出。
具体执行的方式有以下几点：
之一、在输入方面对所有用户提交内容进行可靠的输入验证，提交内容包括URL、查询关键字、http头、post数据等
第二、在输出方面，在用户输内容中使用XMP标签。标签内的内容不会解释，直接显示。
第三、严格执行字符输入字数控制。
四、在脚本执行区中，应绝无用户输入。
jQuery版本升级有哪些注意事项
1. 使用了被废弃的jQuery.fn.live ***
jQuery Migrate库对此错误也在控制台有相应的警告：
JQMIGRATE: jQuery.fn.live() is deprecated
live *** 原本的作用是设置事件 *** ，该 *** 在jQuery 1.7之后就不推荐使用了，取代之的是jQuery.fn.on函数。他们的接口分别是：
$(selector).live('click', function(){/* some code */});$(selector).on('click', [selector,] function(){/* some code */});
乍一看，中括号里面的参数可以省略掉，俩函数不是一模一样么？于是天真地把函数名live直接替换成on，大部分时候，这么做好像没有引起任何异常。但是如果在你调用on函数的时候，前面的$(selector)在当前的网页上根本不匹配任何元素（该元素可能是后面的代码才加到DOM里的），那是不会绑定成功的。事实上，live函数将$(selector) *** 到了document元素上，这个元素是肯定存在的，所以不会出现类似情况。正确的替换 *** 应该是：
$(selector).live('click', function(){/* some code */}); 替换为$(document).on('click', selector, function(){/* some code */});
2. 使用了被废弃的jQuery.fn.die ***
jQuery Migrate对此错误的警告是：
JQMIGRATE: jQuery.fn.die() is deprecated
这个 *** 和前面的live刚好反过来，取消事件处理函数的绑定。新版本中应该使用off函数代替之，替换方式类似。
3. 使用了被废弃的jQuery.fn.toggle函数
jQuery Migrate对此错误的警告是：
JQMIGRATE: jQuery.fn.toggle(handler, handler...) is deprecated
早期jQuery中名字叫toggle的函数有两个，一个是用于控制元素的显示和隐藏，这个用途的函数目前jQuery中依旧存在；另一个就是上面提到的被废弃的toggle函数，它用于绑定至少两个函数到同一个元素，点击该元素的时候两个函数交替着执行。这两个同名函数功能相差甚远，为了不引起误导，在jQuery
1.8中就不再建议使用了。替换的方式是把两个函数合并成一个函数的if-else两个区段，然后自己设置一个boolean变量，控制每次点击时应该执行哪个区段即可。
4. 使用了被废弃的jQuery.browser属性
jQuery Migrate对此错误的警告是：
JQMIGRATE: jQuery.browser is deprecated
在前端开发中我们经常要根据不同的浏览器版本做出不同的处理，jQuery.browser本来是通过浏览器的userAgent字段来提取浏览器相关信息的。新版本中已经将其废弃，而是建议使用特征检测的 *** 去判断，并且给了一个Modernizr库作为推荐。不过，改成这个库可能改动成本有点大，如果你还是想沿用jQuery.browser的思路的话，可以自己去实现一下它。例如，判断是不是IE浏览器，可以用
/msie/.test(navigator.userAgent.toLowerCase());
即自己手动获取userAgent字段，并且做一个正则表达式匹配。其他浏览器思路类似，都是对navigator.userAgent做一个正则匹配。
5. $(html)格式书写错误
在jQuery Migrate中，出现以下三种警告中的任何一种，都是属于这个错误：
JQMIGRATE: $(html) HTML strings must start with '' characterJQMIGRATE: $(html) HTML text after last tag is ignoredJQMIGRATE: HTML string cannot start with a '#' character
这个错误还是蛮值得注意的，因为我们文章开头所说的jQuery低版本有XSS漏洞，其实就是和这个错误有关系。在javascript中我们经常会直接将一段html格式的字符串写在jQuery引用里面，比如$('p/p')。按照新版本的jQuery要求，这段html格式的字符串必须是以左尖括号（小于号）开头，其他字符都不可以。以下几种写法，都是错误的：
$(" p/p"); //错误，字符串最开头有一个空格，不是以小于号''开头的$("p/ptest"); //不标准，html标签结束后后面还有多余的"test"，它会被忽略$("#p/p); //错误，以井号开头并且后面并不是一个css选择器
这一点在书写的时候注意一下就可以了，其实还是很容易避免的。其中第三种错误其实就不仅仅是警告了，jQuery会直接抛出一个错误，停止javascript代码的继续执行。一般情况以井号开头，例如$("#test")，其实就是一个普通的选择器，但是上面例子中后面又夹杂着html字符串，这会被jQuery判断为潜在的XSS攻击。
6. jQuery.fn.attr *** 的错误使用（这是个非常易犯的错误！）
jQuery Migrate中，关于attr *** 的警告有以下这些：
JQMIGRATE: jQuery.fn.attr('value', val) no longer sets propertiesJQMIGRATE: jQuery.fn.attr('value') no longer gets propertiesJQMIGRATE: jQuery.fn.attr('checked') may use property instead of attributeJQMIGRATE: jQuery.fn.attr( props, pass ) is deprecated
实践中我发现，早期写的代码里面，获取一个input输入表单的值时，是怎么获取的呢？$('input').attr('value')；又是怎么设置的呢？$('input').attr('value',
'helloworld')。这在新版本中都是不正确的！正确的做法应该是
$('input').val(); //获取input表单现在所输入的值
$('input').val('helloworld'); //设置input表单输入的值
到底是获取还是设置，只取决于调用val *** 时有没有带着参数。
如果你想手动设置单选框（例如input
type="radio" ）被选中，应该怎么设置呢？老的代码里面可能会看到这样 $('input').attr('checked',
true)或者$('input').attr('checked', 'checked')。这些现在也都是不正确的！正确的做法应该是
$('input').prop('checked', true); //把单选框设为选中状态$('input').prop('checked'); //获取单选框是不是被选中了，返回true或false
这是从jQuery
1.6版本开始使用的写法。如果设置disabled和selected属性，也是使用prop *** 。那到底什么时候使用attr *** 呢？两者的区别是：prop设置的是某元素固有的属性，而attr设置的是写在html标签上的自定义属性。举个例子：
input type="checkbox" checked="checked" haha="hello" var v1 = $('input').prop("checked"); //返回true/false，是否被选中，随状态改变而改变var v2 = $('input').attr("checked"); //返回"checked"，这是你设置在标签上的，不会变var v3 = $('input').attr("haha"); //返回"hello"，自定义属性var v4 = $('input').prop("haha"); //返回undefined，根本没有这个固有属性
上面提到的第四个错误，jQuery.fn.attr(props, pass) is deprecated这个警告在真实项目中从未见到过，看了一下源码，触发该警告的jQuery写法很少见，可忽略。
7. 向$.parse *** ON传入了非法的参数
在jQuery Migrate中，该错误产生如下警告
JQMIGRATE: jQuery.parse *** ON requires a valid *** ON string
jQuery之所以改这个接口，是为了和浏览器自带的 *** ON.parse接口对齐，从jQuery
1.9开始生效。这个问题常见于AJAX接收服务端返回值的时候。服务端可能返回一个空字符串，这时候调用该接口会产生错误。必须向$.parse *** ON传入合法的 *** ON字符串。修正 *** 如下：
var v1 = $.parse *** ON(str); 替换为var v1 = $.parse *** ON( str ? str : "null" );
8. 使用了被废弃的'hover'事件字符串
在jQuery Migrate中该错误产生如下警告
JQMIGRATE: 'hover' pseudo-event is deprecated, use 'mouseenter mouseleave'
在注册事件处理函数时，'hover'以前可以看作是'mouseenter mouseleave'两个事件的别称。目前已经将该别称去掉了，所以代码中请用'mouseenter mouseleave'替换之。
9. jQuery.fn.andSelf已经被替换，不能再使用
jQuery Migrate中是这样的警告：
JQMIGRATE: jQuery.fn.andSelf() replaced by jQuery.fn.addBack()
两个函数功能是完全一样的，可以直接替换。
1. jQuery不兼容浏览器的怪异模式
这个错误的触发方式非常简单，直接把html页面最顶端的!DOCTYPE
html标签删掉就可以了。浏览器怪异模式是为了兼容老古董网页而设计的，详情可参考这篇文章：链接。我想现在的WEB程序员应该不会傻到不写DOCTYPE，也很少使用这种模式下的浏览器吧。
jQuery Migrate展示的错误警告如下：
2. AJAX全局事件必须绑定到document节点上
jQuery Migrate中的警告如下：
JQMIGRATE: AJAX events should be attached to document: ajaxStart
jQuery中AJAX全局事件包括如下接口ajaxStart,
ajaxStop, ajaxSend, ajaxComplete, ajaxError,
ajaxSuccess。因为这些事件使用的比较少，所以也归在少见坑当中。从jQuery
1.9开始，这些事件只能绑定到$(document)上。改正 *** 如下（摘自jQuery官网）：
$("#status").ajaxStart(function(){ $(this).text("Ajax started"); }); 修改为$(document).ajaxStart(function(){ $("#status").text("Ajax started"); });
3. IE6/7/8浏览器不支持修改input表单的type属性
在jQuery Migrate中是这样的警告：
JQMIGRATE: Can't change the 'type' of an input or button in IE 6/7/8
改变input的表单的type属性，你可以直接把文本框改成单选框，改成多选框等等。虽然我感觉这是一种并不算优雅的行为，但是很多浏览器都是支持这么做的，除了IE6/7/8。建议在实际中也是少用这个功能为好。
4. 使用了被移除的$.clean, $.event.handle, $.attrFn, $.fn.data('events'), jQuery.event.trigger属性与 ***
在jQuery Migrate中是这样的警告：
JQMIGRATE: jQuery.clean() is deprecatedJQMIGRATE: jQuery.event.handle is undocumented and deprecatedJQMIGRATE: jQuery.attrFn is deprecatedJQMIGRATE: Use of jQuery.fn.data('events') is deprecatedJQMIGRATE: Global events are undocumented and deprecated
如果你在自己的代码中使用过这五个接口，那确实是仔细研究过jQuery源代码的高人啊。因为这五个接口从来没有出现在jQuery的官方文档中，并且有些在后续版本中已经删除，可谓来无影去无踪。看源代码的话在早期版本有机会找到他们的存在，但是并不建议使用。建议采用其他 *** 实现相应的功能。什么？你不知道这五个函数是什么功能？那更好了，你现在也不需要知道了……
5. 使用了过时的$.sub() ***
jQuery Migrate中对本问题的警告如下：
JQMIGRATE: jQuery.sub() is deprecated
这个接口非常简单，不接受任何参数。它用来创建一个jQuery的副本。该 *** 在jQuery 1.7版本开始就已经不再使用。
6. 使用了过时的jQuery.fn.error ***
jQuery Migrate中对本问题的警告如下：
JQMIGRATE: jQuery.fn.error() is deprecated
在jQuery中，error也是和click一样的事件。注册该事件的处理函数，以前是$(selector).error(function(){})，现在已经被废弃，可以使用$(selector).on('error', function(){})来替代。
怎么搜索jquery xss漏洞
using UnityEngine;
using System.Collections;
//引入命名空间
using System;
using System.Data;
using System.Data.Odbc;
public class RaderData : MonoBehaviour