PHP安全XSS篇脚本安全电脑资料.docVIP

PHP安全XSS篇脚本安全电脑资料 本质 网络上流行的攻击方式xss. 归根结底就是因为用户提交的数据被你信任的显示出来了. 为什么会信任呢? 可能是由于黑 ___方式过滤有漏网之鱼. 可能是忘记转义输出了.这个就是xss攻击的本质了. 防范 了解了本质, 那防范就容易了. 对于绝大部分输出而言, 都是非富文本的. 一个htmlspecialchars函数就搞定了. 对于富文本,处理就相对复杂一些了,黑 ___方式总是会有漏网之鱼,或者过滤掉了用户的正常输入. 而白 ___方式, 就可以搞定所有你不喜欢的代码了~ 观念纠错 我发现90%的人不知道什么时候应该进行什么操作. 比如, 我刚刚毕业就进的那家公司. 入库前, 所有数据htmlspecialchars处理. 然后,这就安全了. 事实上确实安全了. 不说多占用了多少空间,就说富文本的处理, 跨应用传递数据. 这个是行不通的. 还有的人, 入库前会先过滤危险代码. 这是出于什么考虑呢? 怕xss? 可xss不是发生在入库的时候呀! 如果说用户给你的数据不符合你的要求,为啥要入库. 大可提示用户, 您提交的数据不符合我们的规定格式. 例子 简单的例子PHP echo $_GET[t