php - 如何安全地在网站上发布代码示例？

Question

我正在构建一个允许用户发布代码的评论系统。关于输入，我应该担心哪些安全方面的问题？在将输入存储到数据库之前，通过 XSS 过滤器运行输入并转义特殊字符就足够了吗？像这样的功能:

function clean($conn,$input){
$input=htmlentities($input);
$input=mysqli_real_escape_string($conn,$input);
return $input;
}

Answer 1

代码只是文本。代码没有什么特别之处需要您做任何与常规文本不同的事情(除了可能使用 white-space: pre CSS 属性):

1. 在创建 SQL 查询时通过正确转义 SQL 来防止 SQL 注入(inject)，或最好使用准备好的语句。参见 How can I prevent SQL injection in PHP?
2. 正确转义文本以输出到 HTML(当输出到 HTML，而不是之前，而不是之后)。参见 How to prevent XSS with HTML/PHP?

就是这样。完毕。另见 The Great Escapism (Or: What You Need To Know To Work With Text Within Text)如果需要，可以获取更多背景信息。