Todo 列出防止 xss 攻击的方法，哪些是最有效的？

Question

我很想知道我们必须使用哪些最佳方法/技巧来防止 xss 攻击并使其变得困难？

我知道有：

• 使用 htmlspecialchars()
• 使用清理过滤器
• 使用 strip_tags()
• 使用 filter_input_array()
• 禁止一切不需要的东西
• http://htmlpurifier。 org/
• 阅读此http://www.addedbytes.com/writing-secure-php/

需要完成数据库的用户怎么办？ 新开发人员通常会犯哪些错误？

谢谢

Answer 1

规则第一：永远不要相信用户输入。

你的建议很好，我会添加这两个：

• addslashes()
• mysql_real_escape_string()（假设你使用MySQL，也有其他供应商的函数）

我总是建议在使用它之前过滤用户输入。以防万一你以后忘记了。

Answer 2

哪种方法最有效取决于您的要求。如果您需要允许用户发送某些 HTML，您可能需要 HTML 净化器。

但是，如果您永远不会接受用户的 HTML，则需要应用上下文编码。您可以拥有 XSS，而无需用户注入新标签。攻击字符串可以更改现有标签。典型示例：

<input type="text" name="email" value="<?php echo $email; ?>">

在此示例中，如果 $email 为

" autofocus onfocus="alert(1)

onfocus 事件处理程序中的 javascript，则会触发。

您需要使用的转义取决于上下文。我们是在 javascript 中，还是在 HTML 中，或者在 HTML 属性中，还是在 CSS 中？
请参阅 https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting) )_Prevention_Cheat_Sheet 了解有关如何编码的更多信息。

Answer 3

我会使用以下内容：

$variable = trim(strip_tags(stripslashes($_POST['variablename'])));

或者

// Clean up the input values 
foreach($_POST as $key => $value) {  
    $_POST[$key] = stripslashes($_POST[$key]); 

    $_POST[$key] = htmlspecialchars(strip_tags($_POST[$key])); 
}

两者都适用于 HTML/PHP。