這個消毒是否有任何XSS泄漏

Question

我想確保我的消毒沒有任何泄漏。 <p><?php echo htmlspecialchars($user_data); ?></p>

因此，這是爲了保護我不受XSS-注入一個安全的方式： 並且還，我只是硬編碼p標籤和H1標籤

如內輸出用戶數據。

首先，使用此功能sanetize數據時我虎視眈眈，從我使用這個數據庫中的數據就被插入到我的數據庫之前，雖然在我的DB IM使用bind_param

function sanitize($str) { 
    return strtolower(strip_tags(trim(($str)))); 
} 

sanitize($user_data); - > then gets inserted into db 

然後是IM展示它。

<p> <?php echo htmlspecialchars($user_data); ?> </p> 

那麼，這是一種安全的方法來阻止任何XSS？

謝謝！

Answer 1

從安全角度來看，沒有必要，只要你逃跑用你的sanitize函數/正確處理您的數據爲中你輸出到：

• 使用htmlspecialchars()是所有需要輸出到HTML;
• 如果您需要輸出到javascript，請使用json_encode;
• 爲數據庫使用帶有綁定變量的預準備語句;
• 等