Должен ли я использовать как striptags (), так и htmlspecialchars () для предотвращения XSS?

Question

Зависит ли это от того, будет ли ввод печататься для пользователя? В моем случае мне нужно вернуть ввод обратно пользователю (комментарии и биография).

Спасибо !!!

Answer 1

htmlspecialchars() достаточно для предотвращения XSS.

Полосатый тег удаляет теги, но не специальные символы, такие как " или ', поэтому, если вы используете strip_tags() вы также должны использовать htmlspecialchars().

Если вы хотите, чтобы комментарии пользователей отображались так, как они их напечатали, не используйте strip_tags, используйте только htmlspecialchars ().