Untuk mengelakkan serangan XSS dalam PHP, sanitasi input dan output melarikan diri berdasarkan konteks. 1. Sanitize Input Pengguna menggunakan fungsi php filter_var () atau pembersih html untuk kandungan html. 2. Melepaskan output dengan htmlspecialchars () untuk html, json_encode () untuk javascript, dan rawurlencode () untuk url. 3. Tetapkan tajuk HTTP seperti kandungan-keselamatan-dasar, opsyen-pilihan X-content, dan perlindungan X-XSS untuk menambah lapisan pertahanan. Secara konsisten memohon amalan ini menghalang kelemahan XSS dengan berkesan.

Untuk mengelakkan serangan skrip lintas tapak (XSS) di PHP, anda perlu membersihkan dan melepaskan data yang dihasilkan oleh pengguna atau tidak dipercayai sebelum memaparkannya dalam penyemak imbas. Serangan XSS berlaku apabila penyerang menyuntik skrip jahat ke dalam kandungan yang dilihat oleh orang lain - sering melalui bentuk, URL, atau cookies. Kuncinya adalah untuk sentiasa menganggap bahawa input tidak selamat sehingga terbukti sebaliknya.

Sanitasi input semasa menerima data pengguna

Apabila pengguna menyerahkan data ke aplikasi anda, sama ada melalui borang, rentetan pertanyaan, atau API, merawat semua input sebagai berpotensi berbahaya. Sentiasa menapis dan membersihkan data ini sebelum menyimpan atau menggunakannya.

• Gunakan fungsi penapisan terbina dalam PHP seperti filter_var() dengan bendera yang sesuai.
  • Untuk e -mel: filter_var($email, FILTER_VALIDATE_EMAIL)
  • Untuk URL: filter_var($url, FILTER_VALIDATE_URL)
• Jika anda membenarkan beberapa input HTML (seperti dalam forum atau CMS), gunakan pembersih HTML berasaskan putih seperti pembersih HTML dan bukannya cuba untuk melepaskan tag secara manual.

Ingat, pengesahan bukan hanya mengenai keselamatan - ia juga membantu mengekalkan data yang bersih dan meningkatkan pengalaman pengguna dengan menangkap kesilapan awal.

OPSED OUTPUT Berdasarkan konteks

Melangkau output bermakna menukar aksara khas ke dalam perwakilan yang selamat bergantung pada di mana data akan digunakan - HTML, JavaScript, CSS, atau URL. Konteks yang berbeza memerlukan kaedah melarikan diri yang berbeza.

Inilah cara menangani kes -kes yang sama:

• Badan HTML: Gunakan htmlspecialchars() dengan gaya pengekodan dan quote yang betul

   echo htmlspecialchars ($ user_input, ent_quotes, 'utf-8');

• Atribut HTML: Fungsi yang sama berlaku, tetapi pastikan sebut harga melarikan diri ( ENT_QUOTES ).
• JavaScript: Elakkan suntikan pembolehubah PHP terus ke JS jika boleh. Jika diperlukan, gunakan json_encode() yang mengendalikan melarikan diri dengan selamat:

   var jsvar = <? php echo json_encode ($ user_input); ?>;

• URL: Gunakan rawurlencode() apabila membina URL secara dinamik dari input pengguna.

Sentiasa tahu apa konteks yang anda keluaran - mencampurkan jenis melarikan diri boleh meninggalkan kelemahan terbuka.

Tetapkan tajuk HTTP yang betul untuk mengurangkan risiko

Tajuk HTTP boleh membantu melindungi daripada XSS walaupun sesetengah suntikan tergelincir. Tajuk ini menambah lapisan pertahanan tambahan:

• Kandungan-Security-Policy (CSP): memberitahu penyemak imbas yang sumber skrip dibenarkan. Ini berhenti skrip dalam talian dari berjalan kecuali dibenarkan secara eksplisit.

   header ("Kandungan-Security-Policy: Default-Src 'Self'; Script-Src 'Self' https://trusted-cdn.com;");

• X-Content-Type-Options: Nosniff: Menghalang pelayar dari respons Sniffing MIME, mengurangkan risiko pelaksanaan skrip dari fail yang tidak betul.
• X-XSS-perlindungan: Membolehkan perlindungan XSS terbina dalam pelayar yang lebih tua (walaupun CSP menjadikan ini kurang kritikal sekarang).

Tajuk ini bukan pengganti sanitisasi yang betul dan melarikan diri, tetapi mereka bertindak sebagai jaring keselamatan.

Itulah pada dasarnya bagaimana anda meliputi kawasan utama untuk menyekat XSS dalam PHP - sanitize input, melarikan diri output berdasarkan konteks, dan menggunakan tajuk HTTP dengan bijak. Ia tidak memerlukan alat mewah, hanya amalan yang konsisten.

Atas ialah kandungan terperinci Bagaimanakah saya menghalang serangan skrip lintas tapak (XSS) di PHP?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!