回显到页面时，是否需要转义simplepie $ itme-> get_content（）输出？

Question

我有一个WordPress插件，可读取RSS提要并将其输出到管理页面中的浏览器。 在插件中，它使用WordPress的标准feed.php模板（wp-includes / feed.php），该模板使用SimplePie通过WordPress获取提要。

该页面循环遍历提要项，并使用$item->get_title()和$item->get_content()通过直接回显到页面来输出项目标题和内容。

我有一个用户与我联系，告诉我他们已经在其网站上进行了安全审核，但失败了，因为我们使用了$item->get_content()并且在输出到浏览器之前没有对其进行转义，并且这是XSS漏洞，因为正在从供应商的网站读取HTML，并且需要对其进行转义。

这个对吗？

在所有使用get_content()函数的文档中，它们都显示出回显$item->get_content()结果。

有人可以阐明这一点吗，所以我可以最好地与安全审核小组和/或用户联系，或者在需要逃脱的情况下正确更新该插件。

谢谢！ 唐

Answer 1

审计是错误的。 SimlePie 确实会在内部转义内容。 如果查看SimplePie类源代码，您将看到此属性，该属性定义将要剥离的标签：

public $strip_htmltags = array('base', 'blink', 'body', 'doctype', 'embed', 'font', 'form', 'frame', 'frameset', 'html', 'iframe', 'input', 'marquee', 'meta', 'noscript', 'object', 'param', 'script', 'style');

因此，删除了<script>标签-因此无法进行XSS攻击。

这是SimplePie的默认行为，因此，除非您有意通过调用以下命令使其以快速模式运行： $feed->set_stupidly_fast(true) （如您所见，函数名不言而喻:)）或通过调用$feed->strip_htmltags(true) ; 它将以安全模式运行。

从SimplePie文档中：

SimplePie通过清除数据来防止恶意提要。