Должен ли я htmlspecialchars () переменные внутри <title></title>? - PullRequest
Новая
       11

Должен ли я htmlspecialchars () переменные внутри <title></title>?

2 голосов
/ 12 марта 2009

Необходимо ли фильтровать / экранировать небезопасные переменные в <title> или другие теги в <head> для предотвращения XSS?

Ответы [ 2 ]

10 голосов
/ 12 марта 2009

Строго говоря, нужно htmlspecialchars() на делать абсолютно все вывод на веб-страницу из PHP.

Если вы дошли до того, что это приводит к неправильному результату (т. Е. HTML-код отображается в браузере из-за двойной кодировки), вы обнаружили ошибку в своем приложении.

XSS не будет проблемой, если люди будут придерживаться этого простого правила.

3 голосов
/ 12 марта 2009

Да. Вы должны всегда использовать функцию htmlspecialchars для значений, которые могут содержать специальные символы HTML.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.

Нет похожих вопросов

...