PHP_SELF 和 SCRIPT_NAME - XSS 攻击版本
当包含 echo $_SERVER['PHP_SELF'] 等代码时，PHP_SELF 会打开一个容易遭受 XSS 攻击的页面，但是 SCRIPT_NAME 又如何呢？由于它不包含路径信息，因此使用安全吗？我知道您可以使用 htmlentities 和其他类似的函数来清理，但我宁愿避免额外的函数调用。
我很确定它可以安全使用，但我希望 SO 社区能够保证:)
PHP_SELF opens up a page to XSS attacks when code such as echo $_SERVER['PHP_SELF'] is included, but what about SCRIPT_NAME? Since it does not include path info, is this safe to use? I know you can use htmlentities and other similar functions to sanitize but I'd rather avoid the extra function call.
I'm quite sure that it would be safe to use but I'd like the reassurance of the SO community :)
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
作为良好的实践，您应该始终防止来自 $_SERVER、$_GET、$_POST 等的任何变量。
这是清理字符串的简单方法，或者您可以使用 htmlentities。我创建了一个类，在从 $_SERVER、$_GET 和 $_POST 返回任何变量时使用该类。
As good practice, you should always protect against any variables from $_SERVER, $_GET, $_POST etc.
A simple way to sanitize a string, or you can use htmlentities. I create a class that I use when returning any variables from $_SERVER, $_GET and $_POST.