PHP：如何完全防止 XSS 攻擊？

Question

如何完全防止 PHP 中的 xss 攻擊？ 這是假設我不關心任何 HTML 標簽或其他格式。 僅運行 strip_tags 並使其完全安全就足夠了嗎？

Answer 1

htmlspecialchars()和strip_tags()都被認為可以安全地清理用戶輸入以在 HTML 頁面上輸出。

有關的：

• strip_tags() 是否容易受到腳本攻擊？

Answer 2

最簡單的方法是簡單地阻止任何用戶輸入 HTML 標簽。 如果您 strip_tags() 或 htmlspecialchars() 所有用戶輸入，則無法引入<script>標簽。

如果你想允許有限的標記，那么你可以使用類似 bbcode 的語法（找到一個 PHP 庫來做這件事應該不難，雖然我自己從來沒有這樣做過，所以在這方面沒有任何建議） ，或者您可以使用 HTMLpurifier 來限制允許用戶輸入的標記。