保护我的php网页免受xss攻击

Question

我有这段代码，它是一个简单的html页面。

<?php


    require_once ("include/config.php");
    require_once($home."include/main_pre_body.php");
    require_once($home."pop-ups/email/email_form.php")

?>

<!DOCTYPE html>
<html>

    <head>
    <meta charset="utf-8" />
        <link rel="stylesheet" type="text/css" href="css/style.css" />
        <link rel="stylesheet" type="text/css" href="css/calendar.css" />
        <link rel="stylesheet" type="text/css" href="css/time.css" />
    </head>

    <Title><?php echo $EMAIL_TITLE_TEXT?></Title>

    <!--    Load Email Form Window  -->
    <body onload="OpenEmailWin()" style="margin:0px;">

<?php

    require_once($home."include/main_post_body.php");

?>

    </body>

</html>

我想要防止所有形式的可能的xss攻击，我可以识别一些但不是全部。

这是我认为应该修复的第一行<body onload="OpenEmailWin()" style="margin:0px;">。我曾经研究过xss的漏洞，但最让我惊讶的是<和/>的使用。我是从这个答案中得到的，https://stackoverflow.com/a/16126384/492293

使用<和/>会使网页容易受到xss攻击吗?简单页面的哪些其他部分容易受到xss攻击？

谢谢。

Answer 1

htmlspecialchars()和htmlentities()这两个函数将对您有所帮助。使用POST或GET获取数据时使用这些函数。如下所示：

htmlspecialchars($_POST["example"]);
htmlentities($_POST["example"]);

或

htmlspecialchars($_GET["example"]);
htmlentities($_GET["example"]);