如何使用 PHP 防止 URL 表单字段中的 HTML 注入？

Question

例如，如果我在表单中收集 [URL 值]，将该 [URL 值] 保存在数据库中，然后在页面中使用它，如下所示

<a href="[URL value]" > The Link </a>

：我该如何防止这种[URL值]：

http://www.somelink.com"> Evil text or can be empty </a>  ALL THE EVIL HTML I WANT  <a href="

如何防止URL表单字段的这种HTML注入而不破坏URL（如果它是有效的）？

Answer 1

收到表单上的 URL 时：

• 使用 filter_var(url, FILTER_VALIDATE_URL) 确保 URL 的格式有效。
• 确保 URL 以 http:// 或 https:// 开头（或者至少拒绝所有 javascript: URL，因为它们可能包含恶意代码）
• 在数据库中插入 URL（和其他表单数据）时使用准备好的语句，或正确转义该数据以防止 SQL 注入。

显示页面时：

• 使用htmlspecialchars()转义您在 HTML 中插入的 URL（以及所有其他文本）。

Answer 2

最简单的方法是检查输入是否包含语法上有效的 url，不包含诸如 > 之类的字符。 URL 中不允许使用这些内容。最简单的方法是使用过滤器扩展。执行此操作的代码如下所示：

if (filter_var($url, FILTER_VALIDATE_URL)) {
    //Valid URL submitted
} else {
    //Invalid URL submitted
}

Answer 3

编辑：只使用 urlencode，不要使用 htmlentities

每当您将数据放入 URL 的键/值对时，您应该使用 urlencode() 对该数据进行编码。此函数将处理在 URL 的构建方式中具有语法意义的任何特殊字符。 ＆符号、等号和问号将为您编码。注入 HTML 中的所有尖括号和换行符也将被编码！

<?php $TheVariable = $_REQUEST['suspect_var']; // Untrusted data ?>


<a href="http://www.mysite.com/script.php?untrusted_data=<?php echo urlencode($TheVariable) ?>">The Link</a>

Answer 4

要在显示时转义，请使用 htmlentities($var, ENT_QUOTES) 或 htmlspecialchars($var, ENT_QUOTES)。由于浏览器特定的 XSS 负载，需要转义单引号和双引号。检查此处 - http://ha.ckers.org/xss2.html

另外，在验证 URL 时javascript: URI 并不是唯一危险的。另一种是数据：URI。

无论如何，排除除白名单之外的所有内容，然后包含除黑名单之外的所有内容总是更安全。

Answer 5

打印 url 时使用 urlencode 仅对 " 符号进行编码，例如：

echo '<a href="'.str_replace('"', urlencode('"'), $url).'">link name</a>';