php - 删除插入到 mysql 中的 post html、js、css

Question

当我在文本输入上发布 html、js、css 标记、规则和语法时。它显示在页面结果中!
我使用 $conn->real_escape_string 和 mysqli prepared statement 但对我来说仍然不安全。

我的代码是:

<?php
   require 'config/config.php';
   mysqli_set_charset($conn,"utf8");
$qmsg = $_POST["qsmsg"];
$qmsgs = mysqli_real_escape_string($conn, $qmsg);
$ansr = "Answer";
$userName = "John";
$userId="4";
$userType="user";
$imgsp="images/avatar.jpg";

$stmt = $conn->prepare("INSERT INTO qa (qus, ansrq, uname, uid, utype, uimage) VALUES (?, ?, ?, ?, ?, ?)");
$stmt->bind_param("sssiss", $qmsgs, $ansr, $userName, $userId, $userType, $imgsp);
...
$stmt->close();
$conn->close();
?>

我页面上的结果:

Answer 1

这是一个 XSS 问题，而不是数据库或 CSS 问题。

快速回答是您必须调用htmlspecialchars您在 HTML 上下文中显示的任何用户数据。这将中和用户有意或无意引入的任何 HTML。

长答案是人们喜欢能够输入一些格式，所以考虑使用像 Markdown 这样的东西因此您可以键入诸如 *bold* 和 _italic_ 之类的内容，而不必编写实际的 HTML。有许多现成的 PHP 实现。