javascript - 保护联系表

Question

我有一个客户，我用 Wordpress 创建了他的网站。它有一个使用联系表 7 创建的联系表。该客户是一家大型组织的子公司，该组织的 IT 部门对其子域进行扫描。他们要求我的客户保护 Contact Form 7 免受恶意脚本的侵害或将其删除。

当我询问他们测试的示例时，我的客户告诉我他们运行测试以查看是否可以将脚本插入输入(即:<script>alert('hello');</script>)字段或作为 url 字符串(即:www.mydomain.com/contact?<script>alert('hello');</script>)。

使用查询字符串，联系表单将操作设置为:action="/?scriptalert('hello');/script#wpcf7-f1-p6-o1"。我的第一个问题是，由于“<”和“>”已从字符串中删除，这是否会造成任何损害？

如果是这样，我可以添加什么来消除在此联系表单中运行脚本的可能性吗？

Answer 1

HTML 编码是一种防止任何 HTML/JS 生效的方法。在页面中显示之前对任何用户提供的值进行编码是个好主意。

参见 http://ca3.php.net/manual/en/function.htmlentities.php