PHP URL 安全问题

Question

我想让用户将 url 存储在我的数据库中我正在使用 php mysql 和 htmlpurifier 我想知道以下代码是否是在将坏数据存储到数据库之前过滤掉坏数据的好方法？

这是部分 PHP 代码。

$url = mysqli_real_escape_string($mysqli, $purifier->purify(htmlspecialchars(strip_tags($_POST['url'])));

Answer 1

您不需要对数据调用 htmlspecialchars() 和 HTMLPurifier - 这里实际上只有一个问题，那就是确保 URL 不包含SQL 注入 - mysqli_real_escape_string() 会对它进行排序。

或者，如果您将数据输出到页面/HTML（而不是将其用作 HTTP 重定向标头），则需要使用 htmlentities() 来防止数据在输出时出现 XSS它。黄金法则是上下文感知：

HTML 实体编码适用于
您放入的不受信任的数据
HTML 文档的正文，例如
在标签内。它甚至有点
适用于不受信任的数据
转化为属性，特别是如果
你热衷于使用引号
围绕你的属性。但是HTML
如果您是，则实体编码不起作用
将不受信任的数据放入
标记任何地方或事件
处理程序属性，如 onmouseover，或
CSS 内部或 URL 中。所以即使
您使用 HTML 实体编码方法
无论在哪里，你仍然是最有可能的
容易受到 XSS 攻击。您必须使用
HTML 部分的转义语法
记录您放置不受信任的数据
进入。

有关 XSS 预防的深入参考，请查看 OWASP。

最好在使用数据之前对其进行编码（针对相关攻击）（即，将 MySQL 转义字符串输入数据库以防止 SQLi，将 HTML 转义字符串输出到屏幕以防止 XSS，但不要同时进行这两种操作）。这使您可以跟踪应用程序中的数据流，并且您知道数据库中的所有数据已准备好用于任何目的。例如，如果您在将这些数据放入数据库之前对其进行 HTML 编码，则必须在将其用作 HTTP 标头之前对其进行取消编码。

如果您必须在数据进入数据库之前对数据进行编码，请确保列名称反映了这一点，以供未来的开发人员/维护人员参考！

编辑：

根据 VolkerK 的评论，防止 URL 输出中出现 XSS 的最佳方法是检查协议 - 如果它与您允许的协议（可能是 http/https）不匹配，则拒绝它：

$url = 'http://hostname/path?arg=value#anchor';

$parsedUrl = parse_url( $url );

if( $parsedUrl['scheme'] != 'http' ) {
    // reject URL
} else {
    $url = mysqli_real_escape_string( $mysqli, $url );
    $sql = "INSERT INTO table (url) VALUES ('$url')";
    // insert query
}

这有在 情况下防止 javascript:alert('xss') 攻击的优势。在 javascript:alert('xss') 上运行 htmlentities() 没有任何影响（因为字符的有限子集，例如 <>不存在可被转义），因此恶意用户将能够在您的域上执行 JS。

Answer 2

在将值放入数据库之前，只需要 mysqli_real_escape_string() 。

为了防止 XSS，应该在显示的所有数据（在 HTML 中）时调用 htmlspecialchars()，而不是在存储之前。

想象一下，有一天您可能需要以 HTML 以外的格式输出数据；那么你会后悔在将所有内容存储到数据库之前调用 htmlspecialchars() 。

我不知道你为什么要使用 purifier 和 strip_tags()，也许你有一个特定的原因，但它看起来像是“越多层”的过度杀伤力我使用的数据清理方法越好”。 htmlspecialchars() 无论如何都会使任何 HTML 无害。

Answer 3

如果您担心 SQL 注入，这将清理它并防止这种情况发生。否则，不确定你到底在问什么。

Answer 4

如果您只需要将 URL 存储在数据库中并取回它们，只需将字符串传递给 mysqli_real_escape_string 一次就足够了。不需要任何其他东西。仅当您想在 HTML 页面中将其输出回用户时，才需要使用 htmlspecialchars。

HTMLPurifier 根本不属于这里，因为它清理 HTML，而不是 URL。

Answer 5

我将 url 存储在我的数据库中，它仅被 xss 清理，但会被 orm 自动转义。这本质上可以归结为：

mysqli_real_escape_string(strip_tags($var));

所以你首先清理它，然后确保可以保存在数据库中，然后保存未更改的 url。

然而，在它的出路中，您可以将其拉出，然后在模板中使用 htmlentities() ，以防万一其中有任何内容可能会干扰 html。

你真的不需要过度设计这样的东西。

附言。如果您正在使用 POST，您可以这样做：

$fixed = $_POST;
$fixed = array_map('strip_tags', $fixed);
$fixed = array_map('mysqli_real_escape_string', $fixed);

然后使用 $fixed 数组。

Answer 6

您需要区分过滤和转义。当收到数据时，应该对其进行过滤。这意味着剔除不良字符和有缺陷的数据。

使用过滤器扩展和适当的过滤器将数据从超全局数组传输到应用程序变量。

之后，您可能需要清空 $_POST 以避免再次使用未过滤的数据。

然后你将其按摩成你想要的形状。

转义是数据发送或保存之前的步骤，应根据输出介质进行转义。

使用 mysqli_real_escape_string 转义以存储在 MySQL DB 中。如果您使用另一个 DBMS，则应该使用另一个函数。

更好的是，对用户数据使用准备好的语句和占位符。

当输出为 HTML 时，htmlentities 可能是明智的。前提是您根本不想在数据中包含任何 HTML 代码。如果这样做，请使用受信任的库，例如 HTMLPurifier。

我建议您不要尝试在一行代码中完成所有操作，如您的示例所示。这更难阅读，也更难维护。

对于 URL，htmlentities 是避免未转义的好方法。人物。他们当然应该是&它还确保您没有使用任何引号，因为您当然也使用该标志来引用那些引号 - 对吗？

但在存储数据时不应该应用此功能。它应该在发送给用户时应用。

过滤输入-转义输出！ （引用克里斯·希夫莱特的话）