php - Zend View 中的 $this->escape() 是否足以用于 xss

Question

我在 zend View 中执行了很多 $this->escape() 操作。这足以防止 XSS 吗？

在 Zend Framework 之外还有 HTMLPurifier。我想知道 zend 的 $this->escape() 与 HTMLPurifier 相比如何。

Answer 1

escape 是 htmlspecialchars 的别名。它允许您输出纯文本，而 HTMLPurifier 允许您输出安全的 HTML。

你不能用纯文本进行 XSS。

如果你想输出来自用户输入的安全 HTML(例如富文本编辑器)，你必须使用 HTMLPurifier 而不是 strip_tags。