Q

PHP XSS預防白名單

2010-06-07 152 views 2 likes

2

我的網站利用WYSIWYG編輯器爲用戶更新他們的帳戶，輸入評論和發送私人消息。PHP XSS預防白名單

編輯器（CKEditor）非常適合只允許用戶輸入有效輸入，但我擔心通過TamperData或其他方式注入。

如何在服務器端對此進行控制？

我需要將特定標籤列入白名單：<b><ul><ol><a><img><br>，這是防止XSS的安全方法嗎？

2010-06-07 pws5068

A

回答

7

使用HTML Purifier：

HTML淨化器是用PHP編寫的符合標準的HTML 過濾庫。 HTML Purifier不僅會刪除所有惡意代碼（更準確地稱爲XSS），而且還會完全審覈，安全但不受限制的白名單。

2010-06-07 20:06:07 Sarfraz

+0

使用我自己的白名單對strip_tags進行此操作是否有優勢？ – pws5068 2010-06-07 20:15:02

+0

其實，我在這裏找到了我的答案：http://htmlpurifier.org/comparison 謝謝你的幫助。 – pws5068 2010-06-07 20:18:05

+0

@ pws5068：歡迎您:) – Sarfraz 2010-06-07 20:19:37

0

strip_tags將成爲你的朋友。第二個參數可以讓你在允許標記數組傳遞 strip_tags

2010-06-07 20:03:05 MANCHUCK

+1

第二個參數**是不安全**，因爲它不會刪除屬性。有人仍然可以利用安全元素上的屬性，例如'
'。 – Kornel 2010-12-10 00:11:07

+0

你如何爲那個人注入evil_script代碼？ – MANCHUCK 2010-12-14 17:42:33

相關問題

11. 用PHP防止XSS
12. 避免XSS漏洞 - 白名單？
13. 使用.htaccess預防XSS攻擊
14. 開源的XSS預防腳本
15. XSS預防，整潔vs淨化器？
16. 預防XSS攻擊的新方法
17. PHP防止SQL注入/ XSS
18. ESAPI for XSS預防不起作用
19. Apache Commons StringEscapeUtils vs JSoup XSS預防？
20. 爲何XSS預防不足ValidateRequest =「true」？
21. 以正確的方式預防XSS
22. outputStream寫一個byteArray - XSS預防
23. GWT干擾XSS預防措施
24. 防止XSS攻擊
25. .NET HTML白名單（反xss /跨站腳本）
26. 防止DOM XSS
27. 防病毒白名單的痛苦
28. 如何防止IFraming帶白名單
29. 在php中的白名單
30. 用strip_tags（）防止XSS？