php - HTML 净化器 - 净化什么？

Question

我正在使用 HTML Purifier 来保护我的应用程序免受 XSS 攻击。目前我正在从 WYSIWYG 编辑器中净化内容，因为这是唯一允许用户使用 XHTML 标记的地方。

我的问题是，我是否也应该在登录身份验证系统中的用户名和密码(或注册页面的输入字段，如电子邮件、姓名、地址等)上使用 HTML Purifier？那里有XSS攻击的可能吗？

Answer 1

您应该净化任何可能显示在页面上的内容。因为在 XSS 攻击中，黑客输入了 <script>可以链接到其他网站的标签或其他恶意标签。

密码和电子邮件应该没问题。永远不要显示密码，电子邮件应该有自己的验证器以确保它们的格式正确。

最后，永远记得在内容上放入 htmlentities()。

哦..看看filter_var还有。过滤变量的好方法。