PHP的防禦XSS注入的終極解決方案

PHP的防禦XSS注入的終極解決方案【資訊安全】【Hack】

#一：PHP直接輸出html的，可以採用以下的方法進行過濾：

1.htmlspecialchars函數

2.htmlentities函數

3.HTMLPurifier.auto.php外掛

4.RemoveXss函數（百度可以查到）

二：PHP輸出到JS程式碼中，或是開發Json API的，則需要前端在JS中進行過濾：

1.盡量使用innerText (IE)和textContent(Firefox),也就是jQuery的text()來輸出文字內容

#2.必須用innerHTML等等函數，則需要做類似php的htmlspecialchars的過濾（參考@eechen的答案）

三：其它的通用的補充性防禦手段

#1.在輸出html時，加上Content Security Policy的Http Header

#（作用：可以防止頁面被XSS攻擊時，嵌入第三方的腳本文件等）

（缺陷：IE或低版本的瀏覽器可能不支援）

2.在設定Cookie時，加上HttpOnly參數

（作用：可以防止頁面被XSS攻擊時，Cookie資訊被盜取，可相容至IE6）

（瑕疵：網站本身的JS程式碼也無法操作Cookie，且作​​用有限，只能保證Cookie的安全）

3.在開發API時，檢驗請求的Referer參數

（作用：可以在一定程度上防止CSRF攻擊）

（缺陷：IE或低版本的瀏覽器中，Referer參數可以被偽造）

更多PHP相關知識，請造訪PHP教學！

以上是PHP的防禦XSS注入的終極解決方案的詳細內容。更多資訊請關注PHP中文網其他相關文章！