php - 2011 年 PHP 中的 XSS 方法？

Question

我正在尝试了解可用且适当的反制措施的最新信息，这些反制措施可以积极降低 2011 年期间被 XSS 序列攻击的可能性。

我以前所未有的方式进行了谷歌搜索，发现网上有大量库可以帮助解决 XSS 问题，这些库自豪而大胆地指出“XSS/SQL 注入(inject)问题到此为止”。

我发现这些图书馆至少有以下两种症状之一:

• 图书馆非常庞大，它可能有自己的心跳。
• 图书馆是海滩男孩在 radio 里玩耍的时代。

PHP 已经存在了一段时间，远非体面的 strip_tags 伴随着诸如 filter_var 等功能。我远不是这些安全问题的专家，真的不知道它是否能确保将来睡个好觉。

我在 2011 年减少 XSS 注入(inject)的最佳机会是什么，而不会使我的代码膨胀，无论有没有过时的库？

Answer 1

最好的解决方案是使用模板引擎，它不会让您将任何数据输出为纯 HTML，除非您明确告诉它。如果您必须手动转义，很容易忘记一些东西并让自己容易受到 XSS 攻击。

如果您没有真正的模板，请使用 htmlspecialchars() .