平台: PHP和mySQL
出于实验目的,我在自己的网站上尝试了一些XSS注射.考虑这种情况,我有我的表单textarea输入.由于这是一个textarea,我能够输入文本和各种(英文)字符.以下是我的观察:
一个).如果我只应用strip_tags和mysql_real_escape_string并且在将数据插入数据库之前不在我的输入上使用htmlentities,则查询会中断并且由于异常终止而导致显示我的表结构的错误.
B).如果我在将数据插入数据库之前在我的输入上应用strip_tags,mysql_real_escape_string和htmlentities,则查询不会中断,我能够成功地将textarea中的数据插入到我的数据库中.
所以我确实理解必须不惜一切代价使用,但不确定何时应该使用它.考虑到上述情况,我想知道:
什么时候应该使用htmlentities？它是应该在将数据插入数据库之前使用还是以某种方式将数据导入数据库然后在我尝试显示来自数据库的数据时应用htmlentities？
如果我按照上面B)中描述的方法(我认为这是我案例中最明显和最有效的解决方案),当我尝试显示数据库中的数据时,是否还需要应用htmlentities？如果是这样,为什么？如果没有,为什么不呢？我问这个问题,因为在我查看了这篇帖子之后,我真的很困惑:http://shiflett.org/blog/2005/dec/google-xss-example
然后还有一个名为html_entity_decode的 PHP函数.我是否可以使用它来显示我的数据来自DB(按照我的程序,如B点所示),因为我的输入应用了htmlentities？我应该选择哪一个:html_entity_decode和htmlentities以及何时？
预览页面:
我认为在这里添加一些特定情况的更具体细节可能会有所帮助.请考虑有一个"预览"页面.现在,当我从textarea提交输入时,Preview页面接收输入并显示html,同时隐藏的输入收集此输入.当点击预览按钮上的提交按钮时,来自隐藏输入的数据被POST到新页面,并且该页面将隐藏输入中包含的数据插入到数据库中.如果我在最初提交表单时不应用htmlentities(但仅应用strip_tags和mysql_real_escape_string)并且textarea中存在恶意输入,则隐藏的输入会被破坏,隐藏输入的最后几个字符会被视为 " />在页面上,这是不受欢迎的.因此,请记住这一点,我需要做一些事情以在预览页面上正确保留隐藏输入的完整性,然后收集隐藏输入中的数据,以便它不会破坏它.我该怎么做？对发布此信息的延迟表示道歉.
先感谢您.
我想知道在执行以下程序时是否存在任何缺点或不良做法:
而不是做以下事情:
当我们在很多地方显示相同的$ user_input时,对输入感觉更有效率,这样做是否有任何缺点/不良做法/漏洞利用能力？
干杯!
对以下问题的回复很好:
@Matt:一般来说,为了保持可读性和可维护性,请尽量将其存储为尽可能接近原始未经过滤的内容.这取决于两件事:是否有其他人/程序会引用这些数据？数据是否需要易于编辑？
@Sjoerd:如果你想将数据显示为除HTML之外的其他内容,例如CSV下载,PDF等,则存在缺点.