Предотвращение закодированных URL-атак XSS в PHP

Question

У меня проблема с получением моего сайта соответствия PCI из-за уязвимости моего сайта к атаке XSS. Я пытался использовать htmlspecialchars () и htmlentities (), однако Trustwave все еще говорит, что мой сайт уязвим для атак, закодированных URL. Например, кто-то может ввести что-то вроде «% 2522% 253E% 2527% 253E% 253CIfRaME% 253E» в переменную url, к которой я обращаюсь, и я не уверен, как с этим справиться. Пожалуйста помоги!! Спасибо:)

Answer 1

Мой 2цента:

Если вы используете MVC, попробуйте декодировать все значения перед маршрутизацией и используйте stript_tags(), чтобы избавиться от этих неприятностей. И, как говорят документы , дело не должно влиять на что-либо.

Если нет, создайте служебную функцию и сделайте то же самое при извлечении переменных из URI. Но я ни в коем случае не эксперт по XSS, так что это может быть только частью уловки.