Magento Xss 预防

Question

有什么办法可以防止 magento 中的 xss 攻击？在我的本地主机中，我只是想检查如何防止 xss 攻击，例如我在用户在 magento 中注册时插入脚本，在名称字段中插入整个脚本时我感到震惊我已成功注册我的仪表板屏幕截图



刷新页面后，我得到了另一个屏幕

我只是想阻止没有人可以这样做的用户。

请帮助我防止此类攻击。

Answer 1

此外，这可能是模板问题。如果您的模板没有正确转义用户输入，您的数据库中就会出现垃圾。我也在运行 1.4.1.1，但输入字段过滤如下:

<li class="wide">
    <label for="street_1" class="required"><em>*</em><?php echo $this->__('Street Address') ?></label>
    <div class="input-box">
        <input type="text" name="street[]" value="<?php echo $this->htmlEscape($this->getAddress()->getStreet(1)) ?>" title="<?php echo $this->__('Street Address') ?>" id="street_1" class="input-text required-entry" />
    </div>
</li>

htmlEscape() 函数应该处理这些坏事。在某些模板上，它在搜索字段中缺失，使用它您可能会遇到可验证的 XSS 问题。