Untitled

var htmlEscape = function(html){
        return String(html)
        .replace(/&(?!\w+;)/g, '&')
        .replace(/</g, '<')
        .replace(/>/g, '>')
        .replace(/"/g, '"');
};
var xssQQ = function(obj) {
        console.log("before xssQQ");
        console.dir(obj);
        for(var key in obj) {
                if(obj[key] instanceof Object && !(obj[key] instanceof String)) {
                        obj[key] = xssQQ(obj[key]);
                } else if (obj[key] instanceof String || typeof(obj[key]) == "string") {
                        obj[key] = htmlEscape(obj[key]);
                } else {
                        obj[key] = obj[key];
                }
        }
        console.log("after xssQQ");
        console.dir(obj);
        return obj;
}

/*
 * example usage
 */
xssQQ(req.query);
xssQQ(req.body);