需要帮助纠正我的代码中的XSS漏洞

Question

引起我注意的是，我的图像弹出代码受到XSS攻击。.我理解这个问题，但是由于PHP不是我的专业领域，所以我不确定如何纠正它。在此处进行一些搜索，但在如何修复我的代码方面仍不完全清楚。

这是有问题的代码：

<?php
  echo '<a href="javascript:window.close()">' . zen_image($_GET['products_image_large_additional'], $products_values->fields['products_name'] . ' ' . TEXT_CLOSE_WINDOW) . '</a>';
?>

如何更正此代码以更正其中的XSS漏洞？

Answer 1

您显然是在服务器端获取产品数据的
（ $products_values->fields['products_name'] ），那么为什么不以相同的方式获取图像，而不是通过$_GET传递图像呢？ 那应该解决您的问题。

Answer 2

我不确定zen_image期望/做什么，但是您可以在将GET变量传递给函数之前对其进行转义。

<?php
    echo '<a href="javascript:window.close()">' . zen_image(strip_tags($_GET['products_image_large_additional']), $products_values->fields['products_name'] . ' ' . TEXT_CLOSE_WINDOW) . '</a>';
?>

我使用函数strip_tags删除了所有HTML标记。