標題標籤中的XSS攻擊

Question

我有一個表單，用戶可以填寫新聞文章。這包含一個標題和正文。 對於每個頁面都有一個唯一的標題，我使用用戶輸入（標題）在<title>標籤都有效：

<title>$userinput</title> 

我想知道 - 這可能對用戶進行跨站腳本攻擊這條路？我應該使用htmlspecialchars來逃避這個用戶輸入嗎？

這同樣適用於<meta> -tags。我使用的是用戶輸入的描述：

<meta name="description" content="$userinput" /> 

可以將用戶在<title>和<meta>標籤都有效執行XSS攻擊？

Answer 1

我應該使用htmlspecialchars轉義此用戶輸入嗎？

是的。位置無關緊要。所有的用戶輸入都應該被轉義。

參考文獻：

• What are the best practices for avoiding xss attacks in a PHP site
• What's the best method for sanitizing user input with PHP?
• https://stackoverflow.com/questions/tagged/php+xss

Answer 2

他可以先關閉所有標籤：

</title><script> alert('here I am') </script>

Answer 3

這樣就可以執行XSS攻擊。

我會用htmlentities開頭。 你也可以考慮HTML Purifier。 最後，您可能需要考慮PHPIDS。這對於大多數情況來說有點矯枉過正......