0

我正在<form>使用 HTML5 创建一个简单的。只是想确保我没有丢失和安全漏洞。我对攻击了解不多，但我认为消息字段必须有更多内容，因为几乎可以在其中输入任何内容。我可以仅限于文本，但认为这可能不是非常用户友好。

有人可以输入任何类型的 250 个字符，这是否重要？可以用它做任何有害的事情吗？

<form id="contact_form_id" method="POST" action="" name="contact_form">   
   <input class="contact_single_line" type="text" id="fname" name="fname" minlength="2" maxlength="25" required type="text" onkeypress="return isAlpha(event)"></input>
   <input class="contact_single_line" type="text" id="lname" name="lname" minlength="2" maxlength="25" required type="text" onkeypress="return isAlpha(event)"></input>
   <input class="contact_single_line" type="email" id="email" name="email" minlength="3" maxlength="45" required placeholder="Enter a valid email address" TextMode="email" required data-errormessage-type-mismatch="Invalid!"></input>
   <textarea id="message" name="message" minlength="2" maxlength="250" required></textarea>
   <input type="submit" name="submit" id="contact_submit_btn" value="SUBMIT"></input>
</form>

也使用这个 isAlpha 函数作为备份。不确定我已经拥有的 HTML5 验证器是否有必要

function isAlpha (evt) {
    var theEvent = evt || window.event;
    var key = theEvent.keyCode || theEvent.which;
    key = String.fromCharCode (key);
    var regex = /[A-Za-z_ ]|\./;
    if ( !regex.test(key) ) {
      theEvent.returnValue = false;
      if(theEvent.preventDefault) theEvent.preventDefault();
    }
  }
4

2 回答 2

3

客户端验证（HTML 5 或 JavaScript）仅用于改善访问者的体验——任何攻击者都可以轻松绕过它。它用于在访问者将其提交到服务器之前警告他们输入的内容是错误的。

如果您想担心安全性，那么您需要在服务器端进行，并且它需要与您对数据所做的事情相关。

于 2017-10-21T18:56:04.103 回答
2

限制 html 表单中的最大长度并不能阻止攻击者伪造虚假提交 - 这对发送到服务器的内容没有限制。因此，它根本没有安全价值。您必须检查服务器中收到的所有数据，您必须考虑到这可能很危险。这不是一项微不足道的任务。

于 2017-10-21T18:54:06.560 回答