使用htmlspecialchars / htmlentities重定向

Question

我現在有這種fo重定向

Redirect::to(htmlspecialchars('home.php'));

但是當我在home.php上鍵入此代碼時： /%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E

結果如下：

但為什么 ？ 他們說它將被轉換，從而使利用嘗試失敗，但是為什么在我看來卻沒有？

Answer 1

htmlspecialchars使用參數傳遞的字符串將特殊字符編碼為它們的HTML等效字符。 您的密碼

Redirect::to(htmlspecialchars('home.php')); 

僅編碼字符串home.php並將其傳遞給Redirect::To home.php ，而不在整個頁面的輸出上使用htmlspecialchars。

要解決這個問題，您必須像這樣在home.php每個輸出上使用它：

<?php
$new = htmlspecialchars("<a href='test'>Test</a>", ENT_QUOTES);
echo $new; // &lt;a href=&#039;test&#039;&gt;Test&lt;/a&gt;
?>

（示例來自： http : //php.net/htmlspecialchars ）