是否有必要避免用户提交的数据被放入HTML输入值？

Question

假设您从用户输入中获取一个字符串，并将其存储到数据库中。稍后检索该字符串，并用该字符串填充新表单输入的值。在不进行任何清理的情况下，是否存在任何XSS危险?如果是，最好的方法是将对原始输入的干扰降至最低。

$str = $_POST['string'];
// INSERT $str INTO MYSQL

// LATER
$string = // database fetched string
<input type="text" name="data" value="<?= $string ?>" /> // << XSS vulnerable?

Answer 1

如果$string是：

foo"/><script type="javascript">...something malicious...</script>

这是一个XSS漏洞。

用通常的防止XSS攻击的方法修复它：htmlspecialchars()

另请参阅How to prevent XSS with HTML/PHP?