PHP $ _SERVER ['HTTP_HOST']转义，这看起来可以接受吗？

Question

我正在学习逃避的事情，并开始阅读由于XSS攻击而使用$_SERVER['HTTP_HOST']会有多大风险。

我想出了这个，并想知道我是否可以得到一些关于我的尝试的反馈。

htmlspecialchars(
    filter_var( $_SERVER[ 'HTTP_HOST' ], FILTER_SANITIZE_URL ),
    ENT_QUOTES, 'UTF-8'
)

看起来好吗？

这么多取决于这个变量是安全的，我只需要求输入。

编辑：

我将在整个网站上使用它进行显示，包括基本的锚点hrefs，表单动作等。

Answer 1

这取决于你想要用什么。 如果要显示它，请使用htmlspecialchars。 如果要将其用作数据库查询，则可以在mysql的情况下使用mysql_real_escape_string。 （或准备好的陈述）

Answer 2

不同的转义函数应该用于不同的情况，例如：

• urlencode用于将放在<a>标签中的查询字符串中的项目，即。 echo '<a href="index.php?foo=' . urlencode($foo) . '">'; （另见http_build_query ）
• mysql_real_escape_string用于SQL语句中的变量（虽然我更喜欢绑定变量）
• 您希望向用户显示的字符串的htmlentities ，可能包含HTML（另请参阅strip_tags ）