XSS攻擊得到可變

Question

我有一個網站獲取從數據庫中的數據，並創建一個鏈接到下一個頁面

的鏈接頁面將需要page_id它將地址欄上顯示標題

<a href=example.php?page=2&title=foo">click</a> 

的網址將顯示：

example.php?page=2&title=foo 

page_id將只是數字，但標題可以是任何內容。

我的問題是：

• 如果用戶保存javascript:alert()爲標題？
• 它會從URL運行腳本嗎？
• 還有什麼我應該照顧的？

Answer 1

瀏覽器不應該也不會（至少IE11不會）在onclick屬性中執行javascript。

Answer 2

你應該使用：

• 進行urlencode編碼查詢參數，
• 用htmlspecialchars逃脫用戶裏面的html類型
• 參數綁定到SQL語句的內容，以避免SQL注入
  （http://www.php.net/manual/en/mysqli.quickstart.prepared-statements.php）