XSS：REQUEST_URI 通过 htmlspecialchars() 运行 - 然后替换 &与 & - 足以防止XSS注入吗？

Question

场景：

我想将 " ' < > 替换为 &quot; &#039; &lt; &gt;< /code> 但保留“& 字符”

我正在处理的字符串是一个 URL，我希望 URL 参数由 & 分隔，而不是 < code>&。

示例解决方案：

$url = "/some/path?a=123&b=456"; // from $_SERVER["REQUEST_URI"]; 
$url = htmlspecialchars($url, ENT_QUOTES, 'ISO-8859-1', true); 
$url = str_replace('&','&',$url);

问题：

如果我在页面上使用 $url（例如 echo $url; 在 HTML 或 JavaScript 中）可以被 XSS 利用吗？

类似问题：

还有其他关于 SO 的帖子 XSS 和htmlspecialchars() 但我不能 围绕“&”是否存在找到答案 字符（以及它可能的 htmlentities 允许）可能会使您暴露于 XSS。

• 正在替换：<和>与<和>足以防止XSS注入吗？

• PHP 中的 htmlspecialchars() 或 Ruby on Rails 中的 h() 是否足以防御所有 XSS（跨站脚本）攻击？

Answer 1

Sijmen Ruwhof 提出了一个我认为相关的有趣观点：

http://www.php.net/manual/en/function.htmlentities.php#99896

“ENT_QUOTES”选项不
保护您免受 JavaScript 侵害
某些标签的评估
属性，例如“href”属性
'a' 标签。当点击
下面的链接，给定的 JavaScript 将
被执行：

<?php
$_GET['a'] = 'javascript:alert(document.cookie)';
$href = htmlEntities($_GET['a'], ENT_QUOTES);
print "<a href='$href'>link</a>"; # results in: <a href='javascript:alert(document.cookie)'>link</a>
?>

Answer 2

我曾经使用非常奇怪的代码来转义网址，但我打赌这可以做得更好，而且这还没有涵盖 html 特殊字符，它只是用于将网址保存到数据库。

function escapeUrl(&$url){
 $matches = parse_url($url);
    if(!isset($matches["host"])){
        Utils_Logging_Logger::getLogger()->log(
            "Unknown host for URL: \"$url\".",
            Utils_Logging_Logger::TYPE_ERROR
       );
       $matches["host"] = "";
    }
    if(!isset($matches["scheme"])){
        Utils_Logging_Logger::getLogger()->log(
            "Sheme (like http://) for URL: \"$url\" was not set.",
            Utils_Logging_Logger::TYPE_LOG);
        $url = "http://";
    }else{$url = $matches["scheme"]."://";}
    $url.=$matches["host"];
    if(isset($matches["path"])){
        $path = rawurldecode($matches["path"]);
        $url.=$path;   
    }
    if(isset($matches["query"])){
        $query = rawurldecode($matches["query"]);
        $url.="?".$query;
    }
    return $url;

}