Führen Sie htmlspecialchars() nur bei der Ausgabe aus oder gibt es andere Funktionen, die Sie auch ausführen?

Question

Verwenden Sie bei der Ausgabe von Benutzereingaben nur htmlspecialchars() oder gibt es Funktionen/Aktionen/Methoden, die Sie ebenfalls ausführen? Ich suche nach etwas, das sich auch mit XSS beschäftigen wird.

Ich frage mich, ob ich eine Funktion schreiben sollte, die Benutzereingabe bei Ausgabe entkommt oder einfach htmlspecialchars() verwenden. Ich suche die generischen Fälle, nicht die spezifischen Fälle, die einzeln behandelt werden können.

Answer 1

Normalerweise verwende ich

htmlspecialchars($var, ENT_QUOTES) 

auf Eingabefelder ein. Ich habe eine Methode entwickelt, die das tut, weil ich das oft benutze und dadurch den Code kürzer und lesbarer macht.

Answer 2

Lets haben einen kurzen Überblick über WARUM Entkommen in verschiedenen Kontexten gebraucht wird:

Wenn Sie in einem Zitat getrennte Zeichenfolge sind, müssen Sie die Anführungszeichen entkommen zu können. Wenn Sie in XML sind, dann müssen Sie "Inhalt" von "Markup" trennen Wenn Sie in SQL sind, müssen Sie "Befehle" von "Daten" trennen Wenn Sie in der Befehlszeile sind, müssen Sie trennen "Befehle" von "Daten"

Dies ist ein wirklich grundlegender Aspekt der Computer im Allgemeinen. Da die Syntax, die Daten abgrenzt, in den Daten auftreten kann, muss es eine Möglichkeit geben, die Daten vom SYNTAX zu unterscheiden und somit zu entkommen.

In Web-Programmierung, die gemeinsame Flucht Fälle sind: 1. Ausgabe von Text in HTML 2. Ausgabe von Daten in HTML-Attribute 3. Ausgabe von HTML-Code in HTML 4. Einfügen von Daten in Javascript 5. Einfügen von Daten in SQL 6. Einfügen von Daten in einen Shell-Befehl

Jeder hat eine andere Sicherheit Auswirkungen bei falscher Behandlung. Das ist wirklich wichtig! Lassen Sie uns diese Bewertung im Rahmen von PHP:

1. Text in HTML: htmlspecialchars (...)

2. Daten in HTML-Attribute htmlspecialchars (..., ENT_QUOTES)

3. HTML in HTML Verwenden Sie eine Bibliothek wie HTMLPurifier, um sicherzustellen, dass nur gültige Tags vorhanden sind.

4. Daten in Javascript Ich bevorzuge json_encode. Wenn Sie es in ein Attribut einfügen, müssen Sie immer noch # 2 verwenden, z. B.

5. Einfügen von Daten in SQL Jeder Treiber verfügt über eine Escape() - Funktion einer Art. Es ist das beste. Wenn Sie in einem normalen Latin1-Zeichensatz arbeiten, ist addslashes (...) geeignet. Vergessen Sie nicht die Anführungszeichen RUND um den Aufruf addslashes():

   "INSERT INTO table1 SET field1 = '". addslashes ($ Daten)."'"

6. Daten auf der Kommandozeile escapeshellarg() und escapeshellcmd() - lesen Sie das Handbuch

- diese zu Herzen nehmen, und Sie werden 95% * der gemeinsamen beseitigen Internetsicherheitsrisiken! (* a guess)

Answer 3

Sie sollten Text bei der Ausgabe nicht bereinigen, es sollte am Eingang passieren. Ich benutze einen Filter, der alle Eingaben für die Anwendung filtert. Es ist konfigurierbar, um bestimmte Tags/Daten bei Bedarf durchzulassen (zB für einen WYSIWIG-Editor).

Sie sollten so wenig Text wie möglich verarbeiten, um die Geschwindigkeit zu gewährleisten. Wenn man es einmal bearbeitet, wird es viel weniger beansprucht, als es 500.000 mal zu verarbeiten.