通过<img>或<a>标签加载可执行代码？

Question

我工作的一个应用程序,可以让人们进入任意的URL将被包含在<a href="ARBITRARY URL">和<img src="ARBITRARY URL" />标签.

我在看什么类型的安全风险？

该应用程序使用PHP编码,我目前执行的唯一安全对策是在输入URL之前使用PHP的htmlentities()函数,然后再将其作为HTML发送.我还检查以确保URL文本与要么启动http://或https://,但我不知道这是否是明智的完成任何事情,安全.

我还应该做些什么来确保最终用户的安全？

Answer 1

查看XSS 检查表。