PHP 跨站点脚本攻击

 

幸运的是，PHP 提供了 strip_tags() 函数，这个函数可以清除任何包围在 HTML 标记中的内容。strip_tags() 函数还允许提供允许标记的列表，比如 <b> 或 <i>。

 

清单 16 给出一个示例，这个示例是在前一个示例的基础上构建的。

 

 

清单 16. 从用户输入中清除 HTML 标记

 

 

<?php

if ($_POST['submit'] == "go"){

//清除标签

$name = strip_tags($_POST['name']);

$name = substr($name,0,40);

//清除16进制字符

$name = cleanHex($name);

//continue processing....

}

 

function cleanHex($input){

$clean = preg_replace\

("![\][xX]([A-Fa-f0-9]{1,3})!", "",$input);

return $clean;

}

?>

 

 

<form action=\

"<?php echo $_SERVER['PHP_SELF'];?>" method="post">

<p><label for="name">Name</label>

<input type=\

"text" name="name" id="name" size="20" maxlength="40"/></p>

 

<p><input type="submit" name="submit" value="go"/></p>

</form>

 

 

 

从安全的角度来看，对公共用户输入使用 strip_tags() 是必要的。如果表单在受保护区域（比如内容管理系统）中，而且您相信用户会正确地执行他们的任务（比如为 Web 站点创建 HTML 内容），那么使用 strip_tags() 可能是不必要的，会影响工作效率。

 

还有一个问题：如果要接受用户输入，比如对贴子的评论或来客登记项，并需要将这个输入向其他用户显示，那么一定要将响应放在 PHP 的 htmlspecialchars() 函数中。这个函数将与符号、< 和 > 符号转换为 HTML 实体。例如，与符号（&）变成 &。这样的话，即使恶意内容躲开了前端 strip_tags() 的处理，也会在后端被 htmlspecialchars() 处理掉。
 

亿恩科技地址(ADD)：郑州市黄河路129号天一大厦608室 邮编(ZIP)：450008 传真(FAX)：0371-60123888
   联系：亿恩小凡
   QQ：89317007
   电话:0371-63322206