php - 使用 `<textarea>` 来防止脚本

Question

唔。与其“去除”输入或使用某种正则表达式来删除标签，不如将用户内容转储到 <textarea> 中有多安全?

例如，假设有一个执行以下操作的 PHP 页面:

echo '<textarea>';
echo $_GET['whuh_you_say'] ;
echo '</textarea>';

通常这很容易受到 xss 攻击，但在 textarea 中，所有脚本标签将仅显示为 <script>他们不会被处决。

这不安全吗？

Answer 1

</textarea>
  <script type="text/javascript">
    alert("this safe...");
    /* load malicious c0dez! */
  </script>
<textarea>