htmlspecialchars 是否转义 javascript？

Question

我偶然发现了这个问题：

你们知道 htmlspecialchars 函数是否也从用户输入中转义 javaScript 吗？

谢谢

Answer 1

好吧，要回答你的问题，这要看情况。如果您这样做：

<p><?php echo htmlspecialchars($userInput); ?></p>

那么他们将无法将脚本注入您的应用程序。

但是：

如果您尝试这样做：

<script>
    var foo = '<?php echo htmlspecialchars($userInput); ?>';
</script>

您不安全。请参阅 OWASP 的 XSS 备忘单上的规则 #3 。

为了保护这一点，您需要使用 JS 感知的转义函数。如果您只需要一个字符串文字，您可以对其进行 json 编码，但我会使用 ESAPI 用于 PHP 来处理这个问题。

Answer 2

PHP 手册 准确地告诉您该函数更改了哪些字符。

它并不关心你给它的字符串是否包含 HTML、JS 或其他内容。它只是根据您提供的任何字符串进行翻译。

由于 HTML 和 JS 使用不同的转义字符，因此它使任意数据在 HTML 中使用“安全”，其中包括使某些 JS 在 HTML 中使用安全。

例如

$js = "if (foo && bar) { return false; }"
echo "<button onclick='" . htmlspecialchars($js) . "'>click</button>"

将输出：

<button onclick='if (foo && bar) { return false; }'>click</button>

从而防止 & 在 HTML 中的特殊含义破坏脚本。

但它不会使字符串在 JavaScript 中安全使用，因为它不会接触 \ 等具有特殊含义的字符。

Answer 3

根据手册，以下字符被替换：

• '&'（与符号）变为 '&'

如果未设置 ENT_NOQUOTES，

• '"'（双引号）将变为 '"'。

仅当设置 ENT_QUOTES 时，

• "'"（单引号）才变为 '''。
• '<'（小于）变为 '<'
• '>'（大于）变为 '>'

因此，

Answer 4

当然可以。