security - 确定何时或何时不转义输出

Question

我有一个页面，其中大约有 90 个需要输出的项目。其中大部分是对象属性(我正在使用 ORM，因此这些对象映射到我的数据库表)。但问题是，我是否必须通过对每个输出应用函数(在我的例子中是 htmlspecialchars)来对这 90 个输出中的每一个进行编码？这不会增加一点开销(调用单个函数 90 次)吗？

编辑:术语是“输出编码”...呵呵

Answer 1

有人会在某些时候输入可能会弄乱您的 HTML 页面的数据。他们可能无意中这样做(公司名称中有一个“>”)，也可能是有意这样做(请参阅 XSS )。

所以，是的，始终正确编码输出。