php - 防止 xss 攻击的更好方法

Question

这两种方法中哪一种是防止 xss 攻击的更好方法？

1. 保存在数据库中的 HTMLEntities
2. 显示/回显时的 HTMLEntities

我发现第一个更好，因为您可能会在显示时忘记添加它。

Answer 1

which of the two is a better way to prevent xss attack.

1. HTMLEntities while saving in db
2. HTMLEntities while displaying/echoing

2 — 您应该在最后一刻转换为目标格式。如果您决定要在电子邮件、PDF 中使用相同的内容，将相同的内容作为返回给用户进行编辑的文本等，这可以让您免于遇到问题。

i find the first one better coz you may forget to add this while displaying

插入数据库时​​你可能也会忘记。

此外，并非所有数据都会进入数据库。例如即将插入的数据预览或由于错误而将数据放回表单中都是可能的 XSS 向量。您不想处理诸如“在放入数据库之前进行编码，或者如果它不是来自数据库则在回显文档时进行编码”之类的事情。异常是让自己陷入忘记编码的境地的最佳方式。