XSS在wordpress中的攻擊？

Question

我正在開發一個WordPress主題。爲了XSS的安全。在這裏我有兩個疑問：

1. 如何檢測的主題可以感染XSS攻擊？或已經感染？

2. 如何防止它被XSS感染？

我知道這是關係到WordPress和我應該張貼此WordPress的。我已經here但尚未解決。

Answer 1

XSS不是感染，它是一種安全漏洞。你可以learn more about preventing XSS vulnerabilities here。

1. 如何檢測主題可以感染XSS攻擊？或已經感染？

這個問題不是一個簡單的答案。要確定主題是否容易受到XSS攻擊，您需要審覈每個源文件，並檢查輸出的每個位置以確保它沒有任何危險（例如<form action="<?php echo $_SERVER['PHP_SELF']; ?>">）。

1. 如何防止它被XSS感染？

1. 始終轉義輸出，以防止添加HTML實體，如<，>等在這裏使用的快速輔助方法用戶提供的數據是：

   function noHTML($input, $encoding='UTF-8') 
   { 
       return htmlspecialchars($input, ENT_QUOTES | ENT_HTML5, $encoding); 
   } 
   

   請注意，這將阻止用戶提供任何HTML。

2. 使用諸如HTML Purifier之類的庫來轉義整個HTML塊以防止XSS攻擊。