驗證不受信任的HTML輸入是否需要處理每個輸入？

Question

對於跨site_scripting漏洞

1）驗證並轉義每個用戶輸入是否是一個好主意

2）使用strip_tags是否足夠好，並且htmlpurifier對此有什么好處？

Answer 1

是的，這是一個好主意。 我要說的是，如果你不做白痴。 將數據存儲在數據庫中時，請使用准備好的語句和綁定參數 。 如果您使用它（像應該那樣），則不必手動轉義進入數據庫的數據。

現在，要顯示數據，它取決於您要允許的內容以及輸出的位置。 如果它將顯示在HTML頁面上，並且您不想允許任何HTML呈現，請使用htmlspecialchars($content, ENT_QUOTES) 。 您幾乎htmlentities使用htmlentities因為這將轉換存在HTML實體的所有字符。 這意味着它將使您的文檔不必要的更大。 如果要允許某些HTML，則必須在顯示之前對其進行過濾（使用HTML凈化器）。

請注意，不同的存儲機制和不同的輸出介質需要不同的轉義/清理策略。