PHP如何防止json_encode后的字符串在HTML里触发XSS？-php教程-PHP中文网

使用 json_hex_tag、json_hex_apos、json_hex_quot 和 json_hex_amp 标志组合调用 json_encode()，将 html 敏感字符转义为 unicode 实体，从而防止 xss。

PHP如何防止json_encode后的字符串在HTML里触发XSS？

哪些字符会被转义

默认情况下 json_encode() 只转义反斜杠和引号。开启上述四个标志后，小于号 变为 \u003c，大于号 > 变为 \u003e，单引号 ' 变为 \u0027，与符号 & 变为 \u0026。这些实体在浏览器中显示为原字符，但不会触发 HTML 解析或脚本执行。

PHP如何防止json_encode后的字符串在HTML里触发XSS？

{
    "name": "<script>alert(1)</script>",
    "link": "http://example.com?a=1&b=2",
    "quote": "It's a \"test\""
}

预期输出：

{
    "name": "\u003cscript\u003ealert(1)\u003c\/script\u003e",
    "link": "http:\/\/example.com?a=1\u0026b=2",
    "quote": "It\u0027s a \u0022test\u0022"
}

如何正确嵌入到HTML中

将转义后的 JSON 字符串放入 <script></script> 标签时，必须确保其作为 JavaScript 对象或数组的一部分被解析。直接输出字符串需包裹在引号内，或使用 <script>var data = {{json}};</script> 形式。由于 \u003c 等实体在 JS 中是合法字符，浏览器不会将其解释为 HTML 标签，从而阻断 XSS。

DeepBI DHTML 页面生成器

生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur

下载

PHP如何防止json_encode后的字符串在HTML里触发XSS？

<script>
    var userData = {
        name: "<script>alert(1)</script>",
        link: "http://example.com?a=1&b=2"
    };

对比输出：

<script>
    var userData = {
        name: "\u003cscript\u003ealert(1)\u003c\/script\u003e",
        link: "http:\/\/example.com?a=1\u0026b=2"
    };
</script>