XSS (Cross-Site Scripting) ?????? YII ??????? ??? ?? ? ? ?????

??? ??? ???? (XSS) ?????? YII ?? ????? ????? ?? ??? ?? ??? ???????. ??? ?? ????? ?????? ? ?? ?? ?????.

1. ?? ??? ?? : ?? ??? ??? ???? ?? ??? ?????. YII? ?? ?? ?? ?? ??? ?? ??? ???? ?? ???? ???????. ?? ??, safe ?? filter ??? ???? ???? ??? ?? ? ? ????.
2. ?? ??? : ?? ????? ???? ?? ???? ??????. Yii? Html::encode() ? ?? ????? ?? ??? ??? ?? HTML ?? JavaScript? ???? ?? ?????.
3. CSRF ?? ?? : YII?? ???? CSRF (??? ??? ?? ??) ??? ???? ????. ? ??? ?? ?????? ????? ???? ?????? ??????.
4. CSP (Content Security Policy) : XSS ??? ??? ??? ?? ??? ?? ??? ?????. YII? ?? ??? ???? CSP ??? ???? ???? ??? ??? ?? ? ? ????.
5. ??? ? ?? ???? : YII ??? ?? ? ?? ?? ?????? ?? ?? ?? ? ??? ????? ? ??? ?? ??? ??????.
6. ?? ?? : X-Content-Type-Options , X-Frame-Options ? X-XSS-Protection ? ?? ?? ??? ???? ???? ?? ??? ??????.

??? ??? ???? YII ?? ????? XSS ??? ?? ???? ?? ?? ? ????.

XSS ???? ???? ?? YII? ?? ????? ?? ??? ??????

YII?? ??? ?? ??? ???? ?? XSS ???? ???? ? ?????. ?? ??? ??? ????.

1. YII? ??? ?? ??? ?????? : ??? ???? ???? ?? ???? YII? ?? ?? ??? ??????. ???? ???? required , string , number , email ? url ?????. ?? ??:

    <code class="php">public function rules() { return [ [['username'], 'required'], [['username'], 'string', 'max' => 255], [['email'], 'email'], ]; }</code>

2. ??? ?? ?? :?? ??? ??? ??? ???? ??? ?? ??? ??? ??? ??????. ?? ???? ?? ?? ?? ??? ???? ?? ??? ?? ??? ??? ? ????.
3. ?? : ??? ???? ??? ??? ?????. YII? trim , strip_tags ?? ??? ?? ??? ?? ??? ??? ???? ? ??? ??? filter ??? ???? ?????.
4. ?????? ??? : ??? ???? ?? ?????? ?? ??? ?????. ?? ?? ? ??? ???? ?? ? ???? ?? ?? ?? ??????.
5. ?? ?? ??? ?? : ?? ???, URL ?? ?? ? ??? ???? ?? ??? ??? ?????????.

6. ?? ??? : ?? ??? ???? ??? ? ??? ?? ?? ???? ?????. ?? ??, ??? ??? ????? :

    <code class="php">public function rules() { return [ [['username'], 'match', 'pattern' => '/^[a-zA-Z0-9_] $/'], ]; }</code>

??? ??? ?????? YII? ??? ????? ???? XSS ???? ??? ?? ? ????.

XSS ??? ???? ?? YII?? ?? ???? ????? ?????????

YII?? ?? ??? ??? XSS ??? ?? ??? ?????. ??? ? ??? ??? ??? ????.

1. html :: encode () : Html::encode() ???? ???? html? ????? ??? ??????. ? ??? ?? ??? HTML ???? ???? ????? ??? ???? ?? ?????.

    <code class="php">echo Html::encode($userInput);</code>

2. HTMLPURIFIER ?? :?? ??? HTML ?? ??? ?? HTMLPURIFIER ??? ??? ? ????. ? ??? ???? ???? ????? ?? HTML? ?? ? ? ????.

    <code class="php">use yii\htmlpurifier\HtmlPurifier; $purifier = new HtmlPurifier(); echo $purifier->process($userInput);</code>

3. JSON ??? : JSON ???? ?? ? ?? JSON_HEX_TAG ? JSON_HEX_AMP ??? ???? Json::encode() ???? JSON ???? XSS? ??????.

    <code class="php">use yii\helpers\Json; echo Json::encode($data, JSON_HEX_TAG | JSON_HEX_AMP);</code>

4. ?? ??? : html ??? ?? Html::encode() ?? Html::attributeEncode() ? ?? ?? ?? ???? ???? ??? ?? ?? ?????.

    <code class="php">echo '<input type="text" value="' . Html::encode($userInput) . '">';</code>

5. CSP ?? : ??? ??? ??? ?? ?? ?? ??? ?? ??? ???? ??? ???? XSS??? ?? ?? ? ? ????.

    <code class="php">Yii::$app->response->headers->add('Content-Security-Policy', "default-src 'self'; script-src 'self' 'unsafe-inline';");</code>

??? ?? ??? ??? ????? ???? XSS ??? ?? YII ?? ????? ??? ?? ???? ? ????.

XSS? ?? ??? ????? ? ????? YII ??? ?????

?, ?? YII ??? XSS ??? ?? ??? ????? ? ??? ? ? ????. ??? ????? ?????.

1. YII2-HTMLPURIFIER :? ??? HTML ???? YII ?? ????? ?????. HTML Purifier? ??? ???? ????? ?? ??? ???? ?? HTML ??? ?? ? ??? ??? ????????.

    <code class="php">composer require --prefer-dist yiidoc/yii2-htmlpurifier</code>

2. YII2- ?? :? ??? XSS ???, CSRF ?? ? ?? ?? ??? ??? ?? ?? ??? ?????.

    <code class="php">composer require --prefer-dist mihaildev/yii2-elasticsearch</code>

3. YII2-CSRF :? ??? YII? ?? CSRF ??? ?????? ???? ?? ?????.

    <code class="php">composer require --prefer-dist 2amigos/yii2-csrf</code>

4. YII2-CSP :? ??? YII ???????? ??? ?? ?? ?? ?? ? ??? ?????? ???? ??? ???? XSS??? ?? ?? ? ? ????.

    <code class="php">composer require --prefer-dist linslin/yii2-csp</code>

5. YII2-Secure-Headers :? ???? X-XSS-Protection ? Content-Security-Policy ? ?? XSS ??? ?? ? ??? ??? ???? ?? ????? ?? ??? ?????.

    <code class="php">composer require --prefer-dist wbraganca/yii2-secure-headers</code>

??? ??? YII ?? ????? ???? XSS ??? ?? ??? ???? ???? ??? ???? ? ????.

? ??? XSS (Cross-Site Scripting) ?????? YII ??????? ??? ?? ? ? ?????? ?? ?????. ??? ??? PHP ??? ????? ?? ?? ??? ?????!