3

Tengo un textarea y un editor en javascript que lee el contenido y permite editarlo. Cuando el contenido es por ejemplo:

<script>
    alert('hi');
</script>

El script se ejecuta a pesar de ser texto dentro de un textarea. No puedo borrar o quitar las etiquetas porque el editor lo necesita tal y como lo envía luego. ¿Hay alguna manera de que todo lo que hay dentro de un textarea sea tratado como texto normal y no como html, tags, o scripts?

3
  • 4
    Voto para cerrar esta pregunta como tema no relacionado porque está en inglés. el 17 nov. 2016 a las 15:09
  • 1
    Lo que te esta pasando se conoce como XSS (Cross-site scripting). Existente muchas formas de evitarlo. Personalmente creo que deberías sanear el contenido de este textarea antes de guardarlo.
    – Marcos
    el 17 nov. 2016 a las 15:31
  • ¿Cómo estás cargando actualmente el texto en el textarea? ¿Cómo se genera? ¿Cual es la fuente? ¿Podrías mostrar el código?
    – Mariano
    el 17 nov. 2016 a las 22:45

2 respuestas 2

3

Puedes reemplazar los tags de HTML de <script> dentro del textarea por los códigos HTML correspondientes:

<textarea>
    &lsaquo;script&rsaquo;
        alert('hola');
    &lsaquo;/script&rsaquo;
</textarea>

De ese modo, se verá como corresponde pero no se debería ejecutar:

<textarea>
  &lsaquo;script&rsaquo;alert('hola');&lsaquo;/script&rsaquo;
</textarea>

Acá tienes un listado de los símbolos HTML:

Espero que te sirva.

0

La única manera que veo posible hacer esto es

Con jquery

$("#boton").click(function(){
  $('#txtarea').val("<script type='text\/javascript'>var num1 = 1;var num2 = 2;var suma = num1 + num2;alert(suma);<\/script>");
});
<script src="https://ajax.googleapis.com/ajax/libs/jquery/2.1.1/jquery.min.js"></script>
<textarea id="txtarea"></textarea>
<br>
<input type="button" id="boton" value="Insertar">

Con Javascript

function cargarScript(){
  document.getElementById("txtarea").innerHTML = "<script type='text\/javascript'>var num1 = 1;var num2 = 2;var suma = num1 + num2;alert(suma);<\/script>";
}
<textarea id="txtarea"></textarea>
<br>
<input type="button" id="boton" value="Insertar" onclick="cargarScript()">

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.