php - 在数组中包含 HTML 标签是否可以(是否存在被黑客攻击的风险)？

Question

我有以下数组:

'tagline_p' => "I'm a <a href='#showcase'>multilingual web</a> developer, designer and translator. I'm here to <a href='#contact'>help you</a> reach a worldwide audience.",

我是否应该转义数组中的 HTML 标记以避免对我的网站进行黑客攻击？ (如何逃脱？)

或者可以在数组中包含 HTML 标签吗？

Answer 1

只有当它包含用户输入时才会成为问题。你知道你在阵列中放了什么，并相信它。但是您不知道用户传递的是什么，也不要相信这一点。

所以在这种特殊情况下，不需要转义。但是一旦涉及到用户输入，您就应该对输入进行转义。

危险的不是 HTML 本身，而是用户可以传入的 HTML 类型，例如允许他们执行 Javascript 的脚本标签。

添加

请注意，最佳做法是仅在输出 而不是输入时转义。输出是数据可能造成损害的地方，因此您希望始终避免这种情况。这样，您就不必确保所有输入都已转义。

这样，当您将数据输出为可能适用不同规则的不同格式时，您就不会遇到问题。如果您不需要将内容输出为 html，则不必使用 stripslashes() 或 htmlspecialchars_decode() 之类的东西。