PHP_SELF 和 XSS

Question

我发现一篇文章声称 $_SERVER['PHP_SELF'] 容易受到 XSS 攻击。

我不确定我是否理解正确，但我几乎可以肯定它是错误的。

这怎么会容易受到 XSS 攻击!？

<form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>">
  <!-- form contents -->
</form>

Answer 1

为了安全使用，您需要使用 htmlspecialchars() .

<?php echo htmlspecialchars($_SERVER["PHP_SELF"], ENT_QUOTES, "utf-8"); ?>

参见 A XSS Vulnerability in Almost Every PHP Form I’ve Ever Written $_SERVER["PHP_SELF"] 是如何被攻击的。