PHP/JS:如何清理用户输入/输出

Question

例如，假设我有一个接收和显示用户评论(文本)的网站。我关注接收用户提交的漏洞以及显示提交的时间。

关切事项：

• 跨站点脚本攻击
• SQL注入

我的问题是，是否有更多的攻击可能来自用户文本输入？另外，使用PHP，Javascript，我能以什么方式来防范这种攻击呢？

谢谢，圣诞快乐！

Answer 1

JavaScript不是XSS、CSRF攻击的障碍，所以您应该关心服务器端的保护。如果您讨论函数，那么这些函数将帮助您从XSS: talk实体()、strip_tags()、utf8_decode()；正如扎尔所说的那样，mysql_real_escape_string将帮助您从SQL注入中获得帮助。有很多关于SQL注入、XSS、CSRF、会话劫持的文章。去http://phpsec.org/projects/guide/，把它全部读一遍。

Answer 2

您可以使用strip_tags($var)来防范XSS。

mysql_real_escape_string($var)将为您提供基本的SQL注入保护。

Answer 3

请看一下php 过滤器库，它用于清理和验证不同类型的数据，从布尔到电子邮件地址，像输入和数组这样的函数可以使您的应用程序更加安全和智能。