b 站评论区竟然可以输入 HTML 标签，并且显示出来？

2020 年 8 月 15 日
 maemolee

图片里的方框，我是输入了一个<input>😂

牛逼啊，b 站。

4747 次点击
所在节点    分享发现
17 条回复
delectate
2020 年 8 月 15 日
小破站很久不去了，因为真的恶臭了……
weixiangzhe
2020 年 8 月 15 日
xss 警告?
maemolee
2020 年 8 月 15 日
@weixiangzhe #1 胆子大的可以试试看
darer
2020 年 8 月 15 日
iframe 里加载个 AcFun ？
a22271001
2020 年 8 月 15 日
在评论区里面写一个 B 站首页（套娃
lvming6816077
2020 年 8 月 15 日
能执行 js 吗
Tyaqing
2020 年 8 月 15 日
做个跳转到首页
Tyaqing
2020 年 8 月 15 日
做个跳转到 p 站
Shook
2020 年 8 月 15 日
写了 onclick 无法提交，提示网络不好
hakono
2020 年 8 月 15 日
能插入图片的话，评论起来就太舒适了
Shook
2020 年 8 月 15 日
提交了个 iframe 链接到了百度，居然成功了…
hakono
2020 年 8 月 15 日
试了下，楼主误会了
提交后虽然能显示出来，但是你刷新下再看看评论，就懂了
估计前端为了提交评论不刷新页面，直接做了一个把输入内容插入 dom 树里的功能
但是提交到后台的数据实际上是有好好做的 xss 防护的
LittleControl
2020 年 8 月 15 日
刚发出去的时候是是可以显示的,然后刷新一下就没有了,可能是 B 站修复一些问题
![1.png]( https://i.loli.net/2020/08/15/rx6Q3F12Ip7wTe8.png)
![2.png]( https://i.loli.net/2020/08/15/koX1IdrYDa76G8U.png)
LittleControl
2020 年 8 月 15 日
@hakono 对,感觉就是这样的,没有同步更新页面
dasdcasd
2020 年 8 月 15 日
SELF-XSS
wszgrcy
2020 年 8 月 15 日
乐观更新？
leelrs
2020 年 8 月 15 日
@delectate 不要强迫自己，不喜欢就不去不讨论。

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://study.congcong.us/t/698395

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX