客户端中如何限制文本框的输入文本不包含javascript代码？

Question

把<>这两个替换为&lt;和&gt;就可以啊
一定要禁止输入吗？我觉得做不到。

Answer 1

我能想到的也就是把<和>转化为代码形式.<script type=text/javascript>
<!--
  var str="<script>alert("time is over!")</script>"
  str=str.replace("<","&it;")
  str=str.replace(">","&gt;")
  document.write(str)
-->
</script>

Answer 2

输入时过滤没用，目前很多浏览器有各种个样的插件，可以很顺利的分析出页面所有资源，可以很方便的绕开JavaScript输入时的验证。所以只有在输出的时候处理才行。
JavaScript嵌入式攻击，呵呵，类似SQL的注入，也许以后这样的bug才会多起来。

Answer 3

服务端验证一下不错..输入应该原型入数据库
可以供别人如winForm应用,
但每次都需输出转换,并且如果只有这个程序用这个数据,也可以优化一下,
或是将content, webContent这个数据形式......