XSS_CLEAN不笨

Question

工作

$this->input->post('question', TRUE)

如果連我添加TRUE，它仍然允許人們添加HTML代碼。這是爲什麼？

Answer 1

xss_clean()函數不會刪除全部 HTML會刪除/替換被認爲危險的特定事物，如<script>標記。

http://codeigniter.com/user_guide/libraries/security.html

的XSS過濾器會查找常用技術來觸發JavaScript或其他類型的代碼試圖劫持cookie或做其他惡意行爲。如果遇到任何不允許的情況，則通過將數據轉換爲字符實體來使其變得安全。

有人在您的頁面注入<p>標記，雖然可能不需要，但並不是真正有效的攻擊。你必須指定你想要用它做什麼。在很多情況下，你會想要 HTML輸出已被xss_clean()編輯。

這聽起來像你想htmlspecialchars()或strip_tags()（注意：這兩個非常不同的東西）。如果您想編碼的HTML，你也可以使用CI的html_escape()：

echo html_escape($this->input->post('question')); 

如果你想HTML輸出，而不是實體，只是本身使用XSS過濾器：

echo $this->input->post('question', TRUE); 
echo xss_clean($user_input);