PHP_SELF和SCRIPT_NAME - XSS攻擊版

Question

當包含echo $_SERVER['PHP_SELF']等代碼時， PHP_SELF打開一個XSS攻擊頁面，但是SCRIPT_NAME呢？ 由於它不包含路徑信息，這可以安全使用嗎？ 我知道你可以使用htmlentities和其他類似的函數進行清理，但我寧願避免額外的函數調用。

我很確定使用它會安全，但我想要SO社區的保證:)

Answer 1

作為良好的做法，你應該始終防止來自$ _SERVER，$ _GET，$ _POST等的任何變量。

$str = filter_var($input, FILTER_SANITIZE_STRING);

清理字符串的簡單方法，或者您可以使用htmlentities。 我在從$ _SERVER，$ _GET和$ _POST返回任何變量時創建了一個類。