如何使$_POST更加安全？

Question

这是我从Facebook工程页面获得的一个示例代码。

<?php
if ($_POST['name']) {
?>
    <span>Hello, <?=$_POST['name']?>.</span>
<?php 
} else {
?>
<form method="post">
What is your name?<br>
<input type="text" name="name">
<input type="submit">
</form>
<?php
}

它说，上面的代码是不安全的，因为它是开放的跨站点脚本。正确的方法是通过htmlspecialchars()传递$_POST‘’name‘。然而，他们说，这是一个糟糕的编程实践。

通过htmlspecialchars()传递$_POST变量总是效率低下吗？

我想不出有什么办法能保证它的安全。他们介绍了我不愿使用的XHP。

参考资料：https://www.facebook.com/notes/facebook-engineering/xhp-a-new-way-to-write-php/294003943919

Answer 1

正确的方法是通过htmlspecialchars()传递$_POST‘’name‘。然而，他们说，这是一个糟糕的编程实践。

这本身并不是很糟糕的练习。问题是，当您每次将文本内容放入HTML时都必须键入htmlspecialchars，很可能会忘记一个，从而留下漏洞。

正确地说，该页面的意思是，最好有一种HTML默认转义的模板语言，这样您就不必考虑它了。到目前为止，这是大多数web框架已经学到的教训，但是原始PHP仍然没有一个方便的方法来做到这一点。