PHP로 XSS 예방하기

Question

XSS를 막는 것은 실제로 사용자 입력을 출력 할 때마다 htmlspecialchars()를 실행해야한다는 것을 의미합니까? 예를 들어, 사용자 이름을 표시 할 때마다? 정말 지루한 것 같습니다.

더 쉬운 방법이 있습니까?

Answer 1

공격 대상이 될 염려가있는 경우 양식이 외부 사이트가 아닌 귀하의 사이트에서 제출되는지 항상 확인해야합니다. 출처. 세션을 사용할 수 있습니다 : 세션에서 값이 맞으면 양식이 괜찮습니다. 그렇지 않으면 양식이 봇을 사용하여 제출되었습니다.

악의적 인 스크립트를 호스팅하는 것이 걱정된다면 그렇습니다. 사용자가 입력 한 모든 컨텐츠를 공개 및 관리자 용으로 탈출해야합니다.

이 쉽게해야한다 :

예를 :

function h($string) { 
    return htmlspecialchars($string); 
} 

당신은 당신을 위해 당신의 변수를 탈출하는 템플릿 언어를 고려할 수 있습니다. http://www.h2o-template.org/

Answer 2

그래, 매번.

더 쉬운 방법은이 작업을 수행하는 템플릿을 사용하는 것입니다. 스스로 확인하거나 XSLT 또는 개인 fave와 같은 것으로 조사하십시오. PHPTAL

Answer 3

예상되는 콘텐츠 유형에 따라 다릅니다. 예를 들어 당신은 단지 문자를 기대하는 경우는 숫자 만

$input = preg_replace("/[^0-9]*/", "", $input); 

또는 혼합되어 다른 문자가 다음 사용해야합니다 예상되는 경우를 기대하는 경우 당신은

$input = preg_replace("/[^a-zA-Z]*/", "", $input); 

을하거나 수

$input = htmlspecialchars($input, ENT_QUOTES, 'UTF-8');