PHP $_SERVER ['HTTP_HOST' ] 转义，这看起来可以接受吗？

Question

我刚刚开始学习转义并开始阅读有关使用 $_SERVER['HTTP_HOST'] 由于 XSS 攻击的风险。

我想到了这个，想知道我是否可以得到一些关于我的尝试的反馈。

htmlspecialchars(
    filter_var( $_SERVER[ 'HTTP_HOST' ], FILTER_SANITIZE_URL ),
    ENT_QUOTES, 'UTF-8'
)

看起来还好吗？

这在很大程度上取决于这个变量的安全性，我只需要请求输入即可。

编辑:

我将在整个站点中使用它进行显示，包括基本的 anchor 引用、表单操作等。

Answer 1

不同的情况应该使用不同的转义函数，例如:

• urlencode 对于将在 <a> 中的查询字符串中删除的项目标签，即。 echo '<a href="index.php?foo=' . urlencode($foo) . '">'; (另见 http_build_query )
• mysql_real_escape_string 对于进入 SQL 语句的变量(尽管我更喜欢绑定(bind)变量)
• htmlentities 对于要向用户显示的字符串，其中可能包含 HTML(另请参见 strip_tags )