在Zend视图中是$ this-> escape()足够xss

Question

我$this->escape()在zend视图中做了很多.这足以阻止XSS吗？

Zend Framework之外还有HTMLPurifier.我想知道zend $this->escape()与HTMLPurifier 的比较.

Answer 1

escape 是 htmlspecialchars 的别名。它允许您输出纯文本，而 HTMLPurifier 允许您输出安全的 HTML。

纯文本不可能存在 XSS。

如果您想从用户输入（例如富文本编辑器）输出安全的 HTML，则必须使用 HTMLPurifier 而不是 strip_tags。