用户输入过滤-我需要过滤HTML吗?

安全的XSS有许多不同的方法。唯一知道你的方法是否有效的原因是通过开发来测试。我建议使用 Free XSS vulnerability Scanner *或开源 wapiti .

老实说,我永远不会使用strip_tags(),因为您并不总是需要HTML标记来执行javascript!我喜欢 htmlspecialchars($var,ENT_QUOTES); .

例如,这很容易受到XSS的攻击:

print('<A HREF="http://www.xssed.com/'.strip_tags($_REQUEST[xss]).'">link</a>');

在这种情况下,您不需要执行javascript,因为您可以使用 OnMouseOver,这里是一个示例攻击:

$_REQUEST[xss]='" onMouseOver="alert(/xss/)"';

ent_引号将处理双引号,这将修补此XSS漏洞。

*我与此网站/服务有关联。

我认为你所做的是安全的,至少在我看来,没有HTML代码可以通过你的过滤器。