gpt4 book ai didi

php - 停止网站上的 HTML/Javascript 和 SQL 注入(inject)

转载 作者:太空宇宙 更新时间:2023-11-04 13:56:17 27 4
gpt4 key购买 nike

<分区>

我拥有一个在线游戏,您有一个状态框。你可以根据你的感受更新它。我遇到的问题是用户将 java 脚本标签放入消息和状态中。因此,当另一个用户访问他们的页面时,会弹出一个弹出框,说哈哈或他们想要的任何内容。

然后我通过使用停止了它

$status = mysql_real_escape_string($_POST['status']);
$foo = preg_replace('/[^a-z]/i', null, $status );

现在已经停止运行任何 JavaScript,但现在当有人向某人发送消息时,它会删除空格,因此对于消息“你好吗”,它将显示“howareyou”。当然这是安全的,但用户无法阅读消息。有没有其他方法可以阻止将脚本标签插入 virable 但仍然允许空格?

我也很害怕有人用 XSS 攻击我。因为之前,我被告知用户可以在消息中输入内容,然后当其他用户打开它时,它会向他们发送密码......

27 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com