PHP 有权威的反 XSS 库吗？

Question

我已经知道 XSS 是如何工作的，但找出注入恶意输入的所有不同方法并不是一种选择。

我在那里看到了几个库，但其中大多数都非常不完整、效率低下，或者是 GPL 许可的（你们什么时候才能知道 GPL 不适合共享小库！使用 MIT）

Answer 1

OWASP 提供了一个编码库，在该库上花费了时间来处理各种情况。

已过时： http://www.owasp.org/index.php/Category:OWASP_Encoding_Project

现在位于 http://code.google.com/p/reform/
OWASP 的 antiXSS 特定库位于：http://code.google.com/p/php-反SSS/

Answer 2

htmlspecialchars() 是您唯一应该了解的函数。

Answer 3

HTMLPurifier 无疑是清理 HTML 输入的最佳选择，并且 htmlspecialchars 应该应用于其他任何内容。

但是 XSS 漏洞不应该被清除，因为任何此类提交的内容都是垃圾。而是让您的应用程序保释并写入日志条目。实现 XSS 检测的最佳过滤器集位于 mod_security 核心规则中。

我在 new input()，参见_xss方法。

Answer 4

编辑：感谢@mario指出这一切都取决于上下文。确实没有超级方法可以在所有情况下防止这一切。你必须做出相应的调整。

---

编辑：我的立场是正确的，并且非常感谢@bobince 和@Rook 在这个问题上的支持。现在我很清楚 strip_tags 不会以任何方式阻止 XSS 攻击。

在回答之前我已经扫描了我的所有代码，看看我是否以任何方式暴露，一切都很好，因为我主要使用 htmlentities($a, ENT_QUOTES) 来应对 W3C 。

也就是说，我已经更新了下面的函数，以某种程度模仿我使用的函数。我仍然发现 strip_tags 放在 htmlentities 之前很好，这样当用户尝试输入标签时，它们就不会污染最终结果。假设用户输入：ok! 将其显示为 ok! 比打印出转换后的全文 htmlentities 要好得多。

非常感谢你们花时间回复和解释。

---

如果它来自互联网用户：

// the text should not carry tags in the first place
function clean_up($text) {
    return htmlentities(strip_tags($text), ENT_QUOTES, 'UTF-8');
}

如果它来自后台……不要。

公司中的某个人可能需要 JavaScript 来处理这个或那个页面，这是有充分理由的。能够记录和责备比关闭用户要好得多。

Answer 5

我很喜欢 htmlpurifier ，但我发现它效率很低，因为它相当大。另外，它是 LGPL，我不知道它是否属于你们的 GPL 禁令。

Answer 6

除了 zerkms 的回答，如果您发现需要接受用户提交的 HTML（例如，从所见即所得编辑器），您将需要使用 HTML 解析器来确定可以提交和不能提交的内容。

我使用并推荐 HTML Purifier。

注意：甚至不要尝试使用正则表达式:)

Answer 7

我很惊讶这里没有提到它，但与 htmlPurifier 相比，我更喜欢 htmlAwed。它是最新的、获得良好许可、非常小并且速度非常快。