使用htmlspecialchars / htmlentities重定向

Question

我现在有这种fo重定向

Redirect::to(htmlspecialchars('home.php'));

但是当我在home.php上键入此代码时： /%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E

结果如下：

但为什么 ？ 他们说它将被转换，从而使利用尝试失败，但是为什么在我看来却没有？

Answer 1

htmlspecialchars使用参数传递的字符串将特殊字符编码为它们的HTML等效字符。 您的密码

Redirect::to(htmlspecialchars('home.php')); 

仅编码字符串home.php并将其传递给Redirect::To home.php ，而不在整个页面的输出上使用htmlspecialchars。

要解决这个问题，您必须像这样在home.php每个输出上使用它：

<?php
$new = htmlspecialchars("<a href='test'>Test</a>", ENT_QUOTES);
echo $new; // &lt;a href=&#039;test&#039;&gt;Test&lt;/a&gt;
?>

（示例来自： http : //php.net/htmlspecialchars ）