кодирование против хакеров (поведение при кодировании XSS)?

Question

Я занимаюсь PHP-кодированием уже 1 год. я не знаю всего или считаю себя профессионалом. но я хочу написать чистое хакерское доказательство кодирования. Я пытался, например, исследовать, как остановить XSS-атаки. Но кажется, что есть много выражений и много уязвимостей. я попробовал htmlawed и html очистители. но не каждая простая форма или скрипт, который я пишу, будет нуждаться в тяжелом скрипте, чтобы сделать его безопасным. так что мне нужно: есть ли стиль кодирования, которому я могу следовать, чтобы сделать мое кодирование безопасным?

Answer 1

По сути, чтобы избежать XSS, вы должны убедиться, что пользователи не смогут внедрить HTML в вывод HTML вашей страницы.

Самый простой способ сделать это - использовать такие функции, как htmlspecialchars() для любого вывода, который поступает в браузер как HTML.

Это означает, что если кто-то вводит что-то вроде этого (простой пример) :

<script>alert('plop');</script>

HTML-код вашей страницы будет содержать:

<script>alert('plop');</script>

И нет кода HTML / Javascript, который можно было бы интерпретировать.