Quisiera agregar una validación adicional a mi contador de caracteres, esto con el fin de evitar que se inserte en mi campo un ataque de cross site scripting. Actualmente cuento con un limite de caracteres de 200 y una función realizada con la ayuda de JQuery.
Aquí el código HTML con el cual genero mi textarea
<div class="form-group">
<label for="exampleInputEmail1" style="font-size: 15px;">Mensaje</label>
<textarea type="text" maxlength="200" class="form-control" id="txtMessage" placeholder="Escribe tu mensaje" rows="4" cols="50"></textarea>
<span class="pull-right label label-default" id="count_message"></span>
</div>
La siguiente es la función que utilizo con la ayuda de JQuery
var text_max = 200;
$('#count_message').html('0 / ' + text_max);
$('#txtMessage').keyup(function () {
var text_length = $('#txtMessage').val().length;
var text_remaining = text_max - text_length;
$('#count_message').html(text_length + ' / ' + text_max);
});
La función como tal me evita insertar mas de 200 caracteres sin problema
Pero lo que quisiera evitar y por lo que estoy buscando una validación adicional es que lleguen a cambiar el código HTML de esta manera desde el DevTools de mi navegador.
Si se fijan en el maxlength
le quite su atributo de 200 lo cual me va a permitir seguir insertando caracteres de esta forma
Lo cual se puede llegar a insertar un código cross site scripting y quiero evitar esto.
Ademas de esto cuento con una función hecha en un Servicio Web ASP.NET .asmx con la ayuda de C# el cual enviara este mensaje que se introduce en dicho campo a un correo utilizando un Store Procedure en el cual lo uso con la ayuda de la función de envió de correos sp_send_dbmail de SQLServer.
La función que utilizo de C# es la siguiente:
public object Contactar(string Message)
{
List<ResultadoServ> ResultadoServ = new List<ResultadoServ>();
string cs = ConfigurationManager.ConnectionStrings["BDTest"].ConnectionString;
using (SqlConnection con = new SqlConnection(cs))
{
SqlCommand cmd = new SqlCommand("SP_Contactar", con);
cmd.CommandType = CommandType.StoredProcedure;
cmd.Parameters.AddWithValue("@Message", Message);
con.Open();
bool proc = Convert.ToBoolean(cmd.ExecuteNonQuery());
if (proc)
{
ResultadoServ Validar = new ResultadoServ();
Validar.Resultado = "true";
ResultadoServ.Add(Validar);
}
else
{
ResultadoServ Validar = new ResultadoServ();
Validar.Resultado = "false";
ResultadoServ.Add(Validar);
}
}
JavaScriptSerializer js = new JavaScriptSerializer();
var data = js.Serialize(ResultadoServ);
return data;
}
Desconozco que se pueda hacer una validación adicional desde esta función, adicional a esto estoy controlando la cantidad de caracteres desde el Store Procedure limitando a 200 caracteres la cadena de tipo Varchar
Actualización:
Siguiendo alguna de las respuestas que me comentaron aquí, aun sigo con el dilema de que me puedan realizar un ataque de cross site scripting, la validación JQuery que se encuentra en la respuesta me funciona de momento bien hasta el HTML, me explico de la siguiente manera así:
Puedo cambiar en el Devtools el maxlenght
de mi textarea
y no me va a permitir escribir mas caracteres, que era lo que estaba presentando en mi problema inicial.
Lo anterior se controla por la validación del JQuery.
Aquí viene lo bueno.
Ahora vamos a buscar dicha validación en mi archivo .js tambien por el Devtools y le vamos a asignar un valor diferente a la variable text_max
por medio de la consola. Así de la siguiente manera:
Volviendo nuevamente a HTML y cambiando el valor de maxlenght
.
Intentamos escribir en el campo texto para ver lo que sucede:
Como ven al cambiar el valor de la variable text_max
y maxlenght
vamos a seguir siendo vulnerable a un ataque cross site scripting. Quisiera controlar por todos los medios que se pueda acceder insertar caracteres adicionales en dicho campo.
font-end
solo sirven para mejorar la experiencia del usuario (UX
). Si lo que realmentes estas buscando es dar seguridad, lo tenes que hacer en tuback-end
. Con programas comoPostman
podes simular solicitudes (GET
,POST
, etc.) a cualquierendpoint
y las validaciones enJavascript
no jugarían en lo absoluto.