php - 为什么我的代码容易受到 xss 攻击？

Question

我有这样的php代码

<?php
    $input_from_user = "w' onclick = 'alert(document.cookie);'";
    $i_am_barcelona_fan = htmlentities($input_from_user);
?>
<input type = 'text' name = 'messi_fan' value ='<?php echo $i_am_barcelona_fan;?>' />

我正在使用 htmlentities 来防止 XSS 攻击，但我仍然容易受到上述字符串的攻击。为什么我的代码容易受到 XSS 攻击？如何保护我的代码免受它的影响？

Answer 1

您并没有告诉 PHP 也转义引号，您应该改用 htmlspecialchars():

<input type = 'text' name = 'messi_fan' value ='<?php echo htmlspecialchars($input_from_user, ENT_QUOTES, 'UTF-8'); ?>' />

Demo