在我特定的PHP应用程序中，我还能对XSS漏洞做些什么？

Question

我已经阅读了OWASP的XSS预防备忘单，但我并不真正认识到我的应用程序中有这些规则。我不觉得我有那些规则中指出的任何漏洞。

在我的情况下，我应该关注XSS吗？我还能做些什么来保护自己免受XSS的侵害？

Answer 1

我的所有用户输入都用htmlentities（）进行了消毒。够了吗？（我使用准备好的语句进行SQL注入）

不。首先，你应该在输出上过滤，而不是在输入上过滤。在编程中，永远不要相信任何数据，即使是来自您自己数据库的数据！对于输入，您只需要将其转义，以便在SQL、日志等中使用。但是您还必须过滤基本的html+一些特殊字符:\0&<>()+-=“'\Output。htmlentities（）是不够的。

假设你在网站上有一个图像：

<img src="xxx" onload="image_loaded({some_text_from_db});">

总是在服务器端检查数据，如果您也想在客户端检查数据，也可以，但总是在服务器端检查数据。许多现代浏览器（chrome,ff,opera）允许用户“动态”编辑页面，这样他们就可以轻松删除maxlength属性。

除了来自数据库的数据之外，唯一显示给用户的用户输入是通过ajax发送到服务器，使用htmlentities进行消毒，并使用text（）而不是html（）（使用jQuery）在DOM中重新引入

来自。text（）jquery文档：

• 输入用户->筛选器->应用程序
• 输出应用程序->筛选器->用户

不仅仅是输入过滤。