PHP_SELF 和 SCRIPT_NAME - XSS 攻击版

Question

PHP_SELF 在包含诸如 echo $_SERVER['PHP_SELF'] 之类的代码时会为 XSS 攻击打开一个页面，但是 SCRIPT_NAME 呢？ >?由于它不包含路径信息，因此可以安全使用吗？我知道您可以使用 htmlentities 和其他类似函数来清理，但我宁愿避免额外的函数调用。

我很确定使用它是安全的，但我希望 SO 社区的保证:)

Answer 1

作为良好实践，您应该始终防止来自 $_SERVER、$_GET、$_POST 等的任何变量。

$str = filter_var($input, FILTER_SANITIZE_STRING);

清理字符串的简单方法，或者您可以使用 htmlentities。我创建了一个类，在从 $_SERVER、$_GET 和 $_POST 返回任何变量时使用该类。