在没有消毒的情况下将用户输入显示为输入值是否安全？

Question

假设我们有一个用户输入各种信息的表单.我们验证信息,发现有问题.字段丢失,电子邮件无效,等等.

当再次向用户显示表单时,我当然不希望他再次键入所有内容,因此我想填充输入字段.没有卫生处理这样做是否安全？如果没有,首先应该进行的最小消毒是什么？

并且要澄清:它当然会在例如添加到数据库或在网站的其他地方显示之前进行消毒.

Answer 1

不,不是.用户可能会从第三方站点定向到表单,或者只是输入会破坏HTML的数据(无辜地).

将具有特殊含义的任何字符转换为其HTML实体.

即&to &,<to <,>to >和"to "(假设您使用"和不使用分隔属性值'.

在Perl中使用HTML :: Entities,在TT中使用html过滤器,在PHP中使用htmlspecialchars.否则,请查找您正在使用的语言中的类似内容.