xss - 防止在表单输入字段中输入 HTML

Question

我是从阅读 XSS 开始的，我担心（恶意）人们通过<script> </script>标签将 HTML 代码输入到我的表单字段中，例如 JavaScript。我该如何做才能防止 XSS 或防止用户在我的输入字段中输入 HTML 代码？对不起，如果它看起来很简单。

Answer 1

如果您使用的是 PHP，则使用htmlentities($input_data) 或htmlspecialchars($input_data)函数绕过 HTML 标记并阻止执行。

Answer 2

您不能阻止用户输入此文本，但您应该处理他们所做的情况。如果表单字段的文本被发送到服务器，假设用户使用脚本或其他工具生成 http 请求，而不是在浏览器中。所有用户输入都应在服务器上进行验证。但是，在许多情况下，如果您已经在浏览器中进行了一些验证，这对非恶意用户很有帮助。但这对用户来说只是好事，而不是安全措施。