小编Fa7*_*0nK的帖子

以下是否足以防止来自 HTML 元素内部的 XSS？

function XSS_encode_html ( $str )
{
    $str = str_replace ( '&', "&", $str );
    $str = str_replace ( '<', "&lt;", $str );
    $str = str_replace ( '>', "&gt;", $str );
    $str = str_replace ( '"', " &quot;", $str );
    $str = str_replace ( '\'', " &#x27;", $str );
    $str = str_replace ( '/', "&#x2F;", $str );

    return $str;
}

正如这里提到的： -
https://www.owasp.org/index.php/Abridged_XSS_Prevention_Cheat_Sheet#RULE_.231_-_HTML_Escape_Before_Inserting_Untrusted_Data_into_HTML_Element_Content

我没有使用 htmlspecialchars() 因为： -

1. 它不会改变 / 到 /
2. '（单引号）在设置 ENT_QUOTES 时变为 ' ' …