我应该同时使用striptags()和htmlspecialchars()来阻止XSS吗？

Question

这取决于输入是否将打印给用户？在我的情况下,我需要将输入返回给用户(评论和生物).

谢谢!!!

Answer 1

地带标签删除标签,但不是特殊字符,如"或',所以如果你使用strip_tags(),你也可以选择使用htmlspecialchars().

如果您希望用户的注释显示为类型,请不要使用strip_tags,仅使用htmlspecialchars().

我不能代表贬低者,但你的最后一句话似乎完全错了; 您应该始终使用`htmlspecialchars`(当您输出到浏览器时...)**除了**,当您希望用户能够执行代码时(例如在jsbin中) (2认同)