option.textは（）私はオプションのテキストでエンコードされたバージョン<code>(&lt;script&gt;alert(&#x27;xss&#x27;);&lt;/script&gt;)</code>を持っているのに、私の例ではフィドル

Question

は、なぜ私は

$(function() { 
 
     $('#users').each(function() { 
 
     var select = $(this); 
 
     var option = select.children('option').first(); 
 
     select.after(option.text()); 
 
     select.hide(); 
 
     }); 
 
    });

<script src="https://ajax.googleapis.com/ajax/libs/jquery/2.1.1/jquery.min.js"></script> 
 
<select id="users" name="users"> 
 
    <option value="bad">&lt;script&gt;alert(&#x27;xss&#x27;);&lt;/script&gt;</option> 
 
</select>

に警告ボックスを取得していますXSSの脆弱である??

誰かが私が何をしないのです教えてtext.Can私はオプションでHTMLをエンコードしているので、私は警告を示す防ぐためにしようとしていますか？私はオプションのテキストにHTMLをエンコードしている

https://jsfiddle.net/hf1fbhmg/

Answer 1

。

これはテキスト表示（text()）を取得しているので問題ありません。 （たとえHTML表現を取得していたとしても、ブラウザでDOMのテキストをHTMLに変換するルールは、とにかく予期しない結果をもたらす可能性があります）。

はその後、select.after(that_text);を使用しています。 HTMLのような文字列をafterに渡すと、jQueryはそれをHTMLとして扱います。明示的にテキストとして扱う必要があります。例えば

：（「？なぜ、このコードが動作していない」）、デバッグの助けを求めている

select.after(
    jQuery("<span />").text(that_text) 
);