PHP 安全測試為我提供了 GetHTMLValueString 的關鍵反射 XSS 警告，我該如何解決？

Question

PHP 安全測試為我提供了 GetHTMLValueString 的關鍵反射 XSS 警告，我該如何解決？

Answer 1

嘗試將值轉換為HTML 實體

<?php $depo_gin = '<a>1</a>'; ?>
<td>...</td><td><?php echo htmlentities( GetHTMLValueString($depo_gin) ); ?></td>

或者

<?php $depo_gin = '<a>1</a>'; ?>
<td>...</td><td><?php echo htmlspecialchars( GetHTMLValueString($depo_gin) ); ?></td>

結果為 HTML：

<td>...</td><td>&lt;a&gt;1&lt;/a&gt;</td>

文檔：

https://www.php.net/manual/en/function.htmlentities.php

https://www.php.net/manual/en/function.htmlspecialchars.php

如果您只需要來自 html 內容的值

嘗試使用功能strip_tags

<?php 

var_dump(
  strip_tags('<a>1</a>')
); # result: 1

https://www.php.net/manual/en/function.strip-tags