PHP、Javascript JSON、XSS 保护

Question

我被认为存在 XSS 漏洞!

我有一个网站，其中所有 b/w Web 服务器和客户端数据均通过 XHR - JSON 和浏览器 javascript 传输，其余部分用于显示该网站。

当客户端提交数据时，这是我在数据库中记录数据之前的代码(PHP):

$string = trim($_POST['user_input']);
$string = strip_tags($string);
$string = mysql_real_escape_string($string);

当服务器从数据库获取数据时，PHP代码如下:

$string = htmlspecialchars($db_value);

然后

header('Content-Type: application/json; charset=utf-8');
print json_encode($string);

这足以保护我免受 XSS 攻击吗？

Answer 1

根据一般经验，这里的其他答案是不正确的。使用 application/json 作为内容类型可以解决一些问题，但许多客户端倾向于从 JSON 对象中提取数据并将其显示在页面上。这导致了经典的攻击。<​​/p>

阻止 XSS 的唯一可靠方法(我说可靠是因为它不是万无一失的)是清理入站流上的数据(完全拒绝请求可能是更好的调用)并对所有有可能被攻击的输出进行编码显示(即:用户可以修改的任何内容)。

此外，不要接受这样的想法:不是为安全性而设计的方法本质上是安全的(json_encode 并不意味着 XSS 安全性，因此不应该这样使用)。任何认为由于 X 而不需要正常安全实践的建议，即使不是完全忽视，也应该持怀疑态度。