Hay un cuadro de texto de entrada HTML que tiene el parámetro id de exampleId. Cuando se envía algo en este cuadro de texto y luego se envía, se realiza una llamada javascript/ajax y se devuelven los resultados correctos. Se necesitan secuencias de comandos entre sitios en este cuadro de texto, así que agregué al javascript:

 testVal=htmlEncode($('#exampleId').val()); $('#exampleId').val(testVal);

Eso funciona. Evita ataques de secuencias de comandos entre sitios. Pero el problema que estoy teniendo ahora es si alguien ingresa el siguiente ejemplo: hello? Actualiza el valor en el cuadro de texto a hello&#63 que no quiero.

¿Hay una mejor manera de evitar las secuencias de comandos entre sitios o hay alguna forma en que también pueda decodificar el valor en el cuadro de texto para que aún muestre hello? mientras se mantiene la prevención xss anterior?