php - 通过 AJAX 注入(inject)受控 HTML 是否是一个安全问题？

Question

我这里有一个具体案例，我需要一些安全建议。基本上我的问题是“如果我控制数据库中的内容(没有用户提交的数据)，以 HTML(通过 AJAX)返回数据库查询的结果是否存在安全问题？”

这是正在发生的过程:

1. 每日构建生成一个 XML 文档
2. 我的服务器检索此 XML 文档，对其进行解析(使用 PHP)并将其输入数据库。
3. 用户访问站点，发送 AJAX 请求(参数包括要返回的结果数、排序方式以及必要时的搜索词)
4. PHP脚本查询数据库返回结果给AJAX回调
5. AJAX回调将结果注入(inject)页面查看

非常标准的东西...

更多背景知识:我使用准备好的 SQL 语句，这样可以限制用户提供的搜索查询和任何 URL 篡改以创建任意查询。 XML 文件只有字母数字，没有代码。我之所以要返回HTML，是为了尽量减少客户端的工作量，有了HTML，就不用费心用JS来生成页面了(除了用jQuery注入(inject)html block )。

对我有什么建议吗？

提前谢谢你。

PS - 这仍处于计划阶段，因此没有真正的代码可以展示。

Answer 1

只要您100%控制输入，注入(inject)或XSS攻击的风险就非常小。无论您采取何种安全措施，任何可能发生的攻击(例如通过网络替换部分响应或注入(inject)响应)都会发生。

只需确保您的数据库安全。