html - 将未经过滤的用户输入放入文本输入中是否存在 XSS 风险？

Question

我知道在您的网站上显示用户输入时，使用 php 中的 htmlentities() 之类的函数来清理用户输入很有用。但是这样的事情会带来 XSS 风险吗？

<input type="text" value="<?=user input drawn from the database?>" />

像这样清理输入会更好吗？

<input type="text" value="<?=htmlentities(user input drawn from the database)?>" />

我应该说明我只是在谈论输入值属性的安全风险，我知道如果我想在网站的其他地方显示它，我仍然必须清理用户输入。

Answer 1

我可以输入这样的文字，

escape!" /><script>alert("I escaped, because you didn't escape!");</script><img src="

这将为您提供以下输出:(为了便于阅读而格式化)

<input type="text" value="escape!" />
<script>
    alert("I escaped, because you didn't escape!");
</script>
<img src="" />

您只是连接字符串，而不是操作 DOM，因此您仍然需要注意引号。