php - 防止 XSS 攻击的新方法

Question

我有一个与娱乐相关的网站。于是，我想到了用一种新的方法来防止XSS攻击。我创建了以下单词列表

alert(, javascript, <script>,<script,vbscript,<layer>,
<layer,scriptalert,HTTP-EQUIV,mocha:,<object>,<object,
AllowScriptAccess,text/javascript,<link>, <link,<?php, <?import,

我认为，由于我的网站与娱乐相关，所以我不希望正常用户(恶意用户除外)在评论中使用此类词语。因此，我决定从用户提交的字符串中删除所有上述逗号分隔的单词。我需要你的建议。这样做之后我不需要使用像 htmlpurifier 这样的工具吗？

注意:我没有使用 htmlspecialchars()，因为它还会转换从我的富文本编辑器 (CKEditor) 生成的标签，因此用户格式将消失。

Answer 1

使用黑名单是一个坏主意，因为它很容易规避。例如，您正在检查并可能删除 <script> 。为了规避此问题，恶意用户可以输入:

<scri<script>pt> 

你的代码将去掉中间的<script>离开外层<script>完好无损并保存到页面。

如果您需要输入 HTML 而您的用户不需要，则阻止他们输入 HTML。您需要有一个仅您可以访问的单独方法，用于输入 HTML 文章。