CodeIgniter表单上的XSS过滤

Question

我目前正在学习框架"CodeIgniter"。但是我的表单验证有问题。首先，让我向你展示我的观点：

<form method="post" action="connexion">
  <label for="pseudo">Pseudo : </label>
  <input type="text" name="pseudo" value="" />

  <label for="mdp">Mot de passe :</label>
  <input type="password" name="mdp" value="" />

  <input type="submit" value="Envoyer" /></form>

我的控制器：

public function connexion()
{
    $this->load->library('form_validation');

    $this->form_validation->set_rules('pseudo', '"user name"', 'trim|required|min_length[5]|max_length[52]|alpha_dash|encode_php_tags|xss_clean');
    $this->form_validation->set_rules('mdp',    '"password"',       'trim|required|min_length[5]|max_length[52]|alpha_dash|encode_php_tags|xss_clean');

    if($this->form_validation->run())
    {
        $this->load->view('connexion_ok');
    }
    else
    {
        $this->load->view('form');
    }
}

当我在set_rules（）中删除控制器中的“xss_clean”过滤器时，它工作正常，表单有效。如果“xss_clean”存在，则它不起作用，将进入else。我在输入中不使用特殊字符，只使用字母。

在设置中，我把这个设置为true：$config['global_xss_filtering']=TRUE；

我在某个地方读到“xss_clean”过滤器没用。我还能用什么？也许是帮手或者别的什么？谢谢你们

Answer 1

我不同意DFriend的回答。

每个CodeIgniter留档：

XSS转义应该在输出上执行，而不是输入！

因此，他提出的解决方案实际上与不推荐使用的全局配置$config['global_xss_filtering']=TRUE一样，不同之处在于添加更多代码和手动工作，为每个$this添加额外的bollean参数-

正确的方法是在视图中使用set_value：

此函数默认过滤XSS漏洞：

设置值（$field[，$default=''[，$html\u escape=TRUE]]））

Answer 2

首先设置$config['global\xss\u filtering']=FALSE 你不需要也不想一直开着它。此配置设置已被正式弃用。它很可能在将来消失。

其次，如果使用3.0. x版本，则从验证规则中删除xss_clean。它不在正式支持的表单验证规则列表中。

使用输入类从POST、GET、COOKIE或服务器获取数据时，可以使用XSS过滤。大多数输入方法都有第二个参数，可以通过xss_clean（）运行数据。示例：$this-