PHP： <script> tag echoed from $_POST is mysteriously blocked

Question

我正在嘗試測試從PHP安全中學到的信息。 我有一個帶有POST表單和單個textarea輸入的簡單HTML5頁面，在其中輸入了以下JS代碼：

<script>var x = 5; alert(x);</script>

在接收PHP頁面中，我只是echo $_POST['varname']; 查看JS代碼的執行情況。 當然，這是嘗試清理輸入的第一步。

...但是它不起作用！ 我得到的HTML代碼是字面上的

<doctype html>
<html>
<body>
<script>var P = 3; alert(P);</script></body>
</html>

...但是警報沒有運行！ 更加奇怪的是，當我將代碼原樣復制到PHP文件中，而無需使用PHP就可以返回此代碼時，它不會再次運行，但是如果我更改了變量名或其值，它運行！

Chrome和Safari均會發生這種情況。 我檢查了發送和接收的標頭，找不到任何可疑的內容。

有誰知道這是什么奇怪的伏都教魔法？ 因為我在這里迷失了方向。

Answer 1

我運行您的代碼，並在Chrome的控制台上顯示

“拒絕執行JavaScript腳本。在請求中找到腳本的源代碼。”

因此，這可能是一種自然的安全措施，代碼沒有錯。

行為可能因瀏覽器而異，因為它們使用的方法不同

Answer 2

找到了解決方案。 這是WebKit本身的安全功能-這就是Chrome和Safari都擁有它的原因。 為了防止某些形式的XSS攻擊，它阻止頁面執行在請求標頭中發送的JS代碼。 繞過此方法的方法是發送響應頭

x-xss-protection: 0

現在我所有的假冒惡意代碼都能很好地運作。