服务端 GET 请求的多端响应与用户输入内容的处理
许多开发者在处理用户生成内容 (UGC) 时，常常面临安全挑战，尤其是在服务端 GET 请求需要同时响应 iOS、Android 和 Web 端的情况下。本文将探讨如何安全地处理用户输入，并确保在多端展示时避免 XSS 攻击。
文章的核心问题在于：是否需要在将用户输入内容存入数据库时进行转义，以及如何在多端展示时保持一致性和安全性。 举例来说，假设一个 GET 请求返回的内容包含 “5 < 7”。如果在存储到数据库时进行 HTML 转义，数据库中存储的内容将变为 “5 < 7”。那么，iOS 和 Android 端直接显示的内容将是 “5 < 7”，而 Web 端根据是否使用 SSR 或 Ajax，显示结果可能不同。使用 SSR 的页面能正确显示 “5 < 7”，但使用 Ajax 的页面仍然显示 “5 < 7”。
那么，后端应该如何处理呢？ 直接将原始数据存入数据库是否安全？ 答案是：前端的验证属于用户体验 (UE) 问题，而后端的验证属于安全问题。 前端的验证措施很容易被绕过，例如通过模拟 API 调用。因此，后端必须对所有接收到的数据进行验证和校验。
通过验证和校验后，应该将原始格式的数据存入数据库（同时要防止 SQL 注入）。 当前端请求数据时，后端应该将原始数据转换成适合前端展示的格式。
如果在存储时进行了转换，那么在获取数据时就需要进行两次转换：先从存储格式转换为原始格式，然后再转换为目标格式。这种方法不仅复杂，而且可能导致转换失败。 因此，最佳实践是：在数据库中存储原始数据，并在返回给各个客户端时，根据客户端类型进行相应的转义处理，例如，对于 Web 端，进行 HTML 转义；对于 iOS 和 Android 端，则根据其渲染引擎的需求进行相应的转义。 这样既保证了数据的完整性，又避免了 XSS 攻击。
