前端防止XSS注入

思路：
        去掉所有跟sql有关的标签：

    $(function () {

        $(":input").change(function () {

// alert($(this).attr('id'));

            removeHTML($(this).attr('id'));

        })

    })

    function removeHTMLTag(str) {

        str = str.replace(/<\/?[^>]*>/gi, ''); // 去除HTML tag

        str = str.replace(/[ | ]*\n/gi, '\n'); // 去除行尾空白

// str = str.replace(/\n[\s| | ]*\r/g,'\n'); //去除多余空行

        str = str.replace(/&nbsp;/ig, '');// 去掉&nbsp;

        str = str.replace(/alert/gi, '');// 去掉alert;

        str = str.replace(/%3CSCRIPT/gi, '');// 去掉3CSCRIPT;

        str = str.replace(/input/ig, '');// 去掉input;

        str = str.replace(/iframe/ig, '');// 去掉iframe;

        str = str.replace(/window/ig, '');// 去掉window;

        str = str.replace(/link/ig, '');// 去掉link;

        str = str.replace(/location/ig, '');// 去掉location;

        str = str.replace(/JAVASCRIPT/ig, '');// 去掉JAVASCRIPT;

        str = str.replace(/update/ig, '');// 去掉update;

        str = str.replace(/insert/ig, '');// 去掉insert;

        str = str.replace(/select/ig, '');// 去掉select;

        str = str.replace(/[\[\]({!),:;?%<>"'}¨]/g, "");// 替换大部分英文标点


        return str;

    }

    // 将传过来的参数去掉非法字符

    function removeHTML(id) {

        debugger;

        var str = $("#" + id).val();

        str = removeHTMLTag(str);

        $("#" + id).val(str);

    }