标签：php html htmlspecialchars addslashes
假设一些PHP代码通过首先将addslashes()和htmlspecialchars()应用于HTML文档来回显已清理的输入.我听说这是一种不安全的方法,但无法弄清楚原因.
关于可以将哪种格式应用于危险输入(例如脚本标记中的JavaScript)以绕过两个函数强加的安全措施的任何建议都将受到赞赏.
解决方法:
addslashes与XSS无关(在实际有用的地方几乎总会有更好的东西).
htmlspecialchars不是一种不安全的方法.它本身就是不够的.
如果您将内容作为“安全”元素的主体,htmlspecialchars将保护您.
如果您将内容作为“安全”属性的值,如果您也正确引用该值,它将保护您.
如果您将其作为“不安全”属性或元素(其中内容可被视为JavaScript)的值(例如< script>,onmoseover,href或style),则不会保护您.
例如：
<!-- http://example.com/my.php?message=", steal_your_cookies(), " -->
<!-- URL not encoded for clarity. Imagine the definition of steel_your_cookies was there too -->
<button onclick='alert("<?php echo htmlspecialchars($_GET['message']); ?>")'>
click me
</button>
会给你：
<button onclick='alert("", steal_your_cookies(), "")'>
click me
</button>
这意味着：
<button onclick='alert("", steal_your_cookies(), "")'>
click me
</button>
单击按钮时会窃取您的cookie.
标签：php,html,htmlspecialchars,addslashes 来源： https://codeday.me/bug/20190628/1319416.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。