b 站评论区竟然可以输入 HTML 标签，并且显示出来？

2020-08-15 07:14:16 +08:00
 maemolee

图片里的方框，我是输入了一个<input>😂

牛逼啊，b 站。

4266 次点击
所在节点    分享发现
17 条回复
delectate
2020-08-15 07:41:37 +08:00
小破站很久不去了，因为真的恶臭了……
weixiangzhe
2020-08-15 07:45:55 +08:00
xss 警告?
maemolee
2020-08-15 08:04:51 +08:00
@weixiangzhe #1 胆子大的可以试试看
darer
2020-08-15 08:08:53 +08:00
iframe 里加载个 AcFun ？
a22271001
2020-08-15 08:09:17 +08:00
在评论区里面写一个 B 站首页（套娃
lvming6816077
2020-08-15 08:44:32 +08:00
能执行 js 吗
Tyaqing
2020-08-15 08:52:53 +08:00
做个跳转到首页
Tyaqing
2020-08-15 08:53:26 +08:00
做个跳转到 p 站
Shook
2020-08-15 09:21:06 +08:00
写了 onclick 无法提交，提示网络不好
hakono
2020-08-15 09:23:12 +08:00
能插入图片的话，评论起来就太舒适了
Shook
2020-08-15 09:23:45 +08:00
提交了个 iframe 链接到了百度，居然成功了…
hakono
2020-08-15 09:29:43 +08:00
试了下，楼主误会了
提交后虽然能显示出来，但是你刷新下再看看评论，就懂了
估计前端为了提交评论不刷新页面，直接做了一个把输入内容插入 dom 树里的功能
但是提交到后台的数据实际上是有好好做的 xss 防护的
LittleControl
2020-08-15 09:30:10 +08:00
刚发出去的时候是是可以显示的,然后刷新一下就没有了,可能是 B 站修复一些问题
![1.png]( https://i.loli.net/2020/08/15/rx6Q3F12Ip7wTe8.png)
![2.png]( https://i.loli.net/2020/08/15/koX1IdrYDa76G8U.png)
LittleControl
2020-08-15 09:31:42 +08:00
@hakono 对,感觉就是这样的,没有同步更新页面
dasdcasd
2020-08-15 09:44:08 +08:00
SELF-XSS
wszgrcy
2020-08-15 09:46:56 +08:00
乐观更新？
leelrs
2020-08-15 09:47:11 +08:00
@delectate 不要强迫自己，不喜欢就不去不讨论。

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/698395

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX