禁用codeigniter xss過濾或運行它

我有一個codeigniter網站，我打開了全球xss過濾，我已經開發了這樣的網站。我觀察到，我無法通過電子郵件作爲獲取參數不再。 ex: www.foo.com/[email protected]禁用codeigniter xss過濾或運行它

我不知道如何通過電子郵件作爲參數保持全球xss過濾，因爲我不想添加很多xss_clean('data')。

我想過把它拆分成像www.foo.com/data?id=example&domain=dot&ext=com這樣的東西，但我不知道這是否是最好的主意。有什麼建議麼？

來源

2014-05-18 Alex7

你發現一個原因一般黑名單輸入作爲一項安全功能很爛。正確處理XSS。在輸出*上實現合適的*轉義*。 – Quentin

這將是我的優先事項之一。我想啓動網站，然後我會在運行時進行所有修改，這樣我就不會再花時間離線了。我從開始的缺點知道，但這個電子郵件部分首先不在我的項目中。 – Alex7

您是否使用URL編碼電子郵件？

[email protected]應該成爲名稱％40domain.com

來源

2014-05-18 22:48:04 vesperto

所以在這種形式下它應該通過xss過濾？ – Alex7

是的，它的確如此。這真的很有幫助。謝謝 – Alex7

沒問題。 [This]（http://meyerweb.com/eric/tools/dencoder/）可能會有所幫助。任何URL（無論是用戶輸入還是生成的）都必須有[特殊字符轉義]（https://en.wikipedia.org/wiki/URL#List_of_allowed_URL_characters）。 CodeIgniter肯定有這個功能，請檢查他們的文檔/論壇。如果回答了這個問題，請標記。 – vesperto

禁用codeigniter xss過濾或運行它

回答

相關問題