php - 我如何对 Web 应用程序中的所有输出进行 HTML 编码？

Question

我想在我的 Web 应用程序中防止 XSS 攻击。我发现对输出进行 HTML 编码确实可以防止 XSS 攻击。现在的问题是我如何对应用程序中的每个输出进行 HTML 编码？我有办法自动执行此操作吗？

感谢 JSP、ASP.net 和 PHP 的回答。

Answer 1

您不应该做的一件事是在输入数据输入时对其进行过滤。人们经常建议这样做，因为这是最简单的解决方案，但它会导致问题。

除了以 HTML 格式输出外，还可以将输入数据发送到多个地方。例如，它可能存储在数据库中。过滤发送到数据库的数据的规则与过滤 HTML 输出的规则非常不同。如果您对输入的所有内容进行 HTML 编码，您最终会在数据库中得到 HTML。 (这也是为什么 PHP 的“魔术引号”功能不是一个好主意。)

您无法预料输入数据将经过的所有地方。安全的方法是在将数据发送到某处之前准备好数据。如果您要将其发送到数据库，请将单引号转义。如果您要输出 HTML，请转义 HTML 实体。一旦它被发送到某个地方，如果您仍然需要使用数据，请使用原始的未转义版本。

这是更多的工作，但您可以通过使用模板引擎或库来减少它。