php中xss攻击的示例/类型

Question

可能重复：
在PHP站点中避免xss攻击的最佳实践是什么
我可以用来测试页面输入的XSS示例？

什么是php中的客户端xss攻击的示例/类型，如何防止它们？

Answer 1

1. 纯文本为HTML。 当您忘记使用htmlspecialchars转义纯文本时。 无需任何预防：在模板中使用PHP时，只需转义变量即可。 或使用smarty / twig / etc。

2. HTML as HTML：当您允许用户创建HTML（fckeditor / tinymce / plain HTML / etc）时。 使用HTML消毒剂。

3. BB代码转换为HTML。 不要使用自己的基于正则表达式的解析器，而只能使用FSM解析器。