htmlentities가 utf8 문자를 삭제하지 못하도록 방지 ಠ_ಠ

Question

XSS (Cross Site Scripting) 공격으로부터 출력을 필터링하여 htmlentities로 출력을 필터링하고 있습니다. 문제는 응용 프로그램을 utf8과 호환되도록 만드는 것입니다. 데이터베이스에서 가져올 때 유지 관리하고 싶습니다. 이것을 달성하기위한 간단한 해결책이 있습니까? 어떤 조언을 주셔서 미리 감사드립니다.

Answer 1

세 가지

1. HTML의 살균은 출력 태스크 탈출하지 필터링 입력된다. 아니요이 작업을 저장하기 전에 수행해야합니다. 표시하기 전에 수행해야합니다.
2. XSS를 방지하려는 경우 htmlentities() - htmlspecialchars()이면 충분하지 않습니다. htmlentities()은 네이티브 인코딩과 다른 문자 인코딩의 콘텐츠를 렌더링 할 때만 사용됩니다.
3. Bothfunctions 세 번째 인수로 문자 인코딩을 허용합니다. 그래서, 결국

: 당신이 ENT_NOQUOTES를 사용한 경우

echo htmlspecialchars($content, ENT_QUOTES, 'UTF-8'); 

은 어디 XSS의 일부 유형에 취약해질 수 있습니다.

Answer 2

$var=htmlspecialchars($var,ENT_QUOTES,"UTF-8");