security - 转义 HTML 输出的最低要求

Question

在输出前转义用户生成的内容时需要和足够的字符是什么？（换句话说：当输出以前来自不受信任的匿名来源的文本时，Web 开发人员应该转义哪些字符？）

Answer 1

回显到页面时，您应该编码

• '&'（和号）变为' &'
• '"' （双引号）变为 ' "'
• ''' （单引号）变为 ' ''
• '<'（小于）变为' <'
• '>' （大于）变为 ' >'

来自 PHP 的htmlspecialchars() 文档。

请注意，上下文也很重要。

您还需要考虑字符集。

Answer 2

我认为转义< > & " '符号对于任何情况都应该足够了。