驗證不受信任的HTML輸入是否必須處理每個輸入？

Question

對於跨site_scripting漏洞

1）它來驗證和逃生的用戶輸入

2）每一個好主意，用strip_tags的不夠好，什麼是htmlpurifier在它的好處？

Answer 1

是的，這是一個好主意。我會盡可能地說，如果你不是你是白癡。將數據存儲在數據庫中時使用prepared statements and bound parameters。如果你使用這個（就像你應該那樣），你不需要手動轉義進入數據庫的數據。

現在顯示數據取決於您想要允許的以及要輸出的位置。如果它將顯示在HTML頁面上，並且您不想允許任何HTML呈現，請使用htmlspecialchars($content, ENT_QUOTES)。你幾乎不需要使用htmlentities，因爲它會轉換所有有HTML實體的字符。這意味着它會讓你的文件變得沒有必要變大如果你想允許一些HTML，你必須在顯示它之前過濾它（使用HTML淨化器）。

請注意，不同的存儲機制和不同的輸出介質需要不同的轉義/消毒策略。