php - 清理输入但输出不如预期

Question

这是我的一种形式（PHP+MySQL，textarea 被 TinyMCE 取代）。它记录带有段落、项目符号、标题和文本对齐方式（右、左、居中和对齐）的描述。

提交后，记录显示为

<p style="text-align: justify;"><strong>Introduction</strong></p>
<p style="text-align: justify;">The death of the pixel leaves you with a flowing, magazine-quality canvas to design for. A canvas where curves are curves, not ugly pixel approximations of curves. A canvas that begins to blur the line between what we consider to be real and what we consider to be virtual.</p>
<p style="text-align: justify;">It wasn't too long ago that there was one set of rules for use of type on print and use of type on screen. Now that we have screens that are essentially print quality, we have to reevaluate these conventions.</p>
<p style="text-align: justify;">Web sites are transforming from boring fields of Arial to embrace the gamut of typographical possibilities offered by web fonts. Web fonts, combined with the style and layout options presented by the creative use of CSS and JavaScript offer a new world of typographic oppor</p>
<ol>
<li style="text-align: justify;">point 1</li>
<li style="text-align: justify;">point 2</li>
<li style="text-align: justify;">point 3</li>
</ol>

我读到您需要清理进入数据库的所有数据以避免XSS并开始寻找解决方案。

我找到的解决方案是使用“htmlspecialchars()”（来源：Lynda.com - 创建安全的 PHP 网站）。

所以，教程说我们需要在保存到数据库之前清理我们的输入并使用类似（示例代码）的东西

<?php
    if($_SERVER['REQUEST_METHOD'] === 'POST') {
        $category_description = $_POST['category_description'];
        echo $category_description;
        echo '<br><br>';
        echo htmlspecialchars($category_description);
        echo '<br><br>';
        echo htmlentities($category_description);
        echo '<br><br>';
        echo strip_tags($category_description);

    }
?>

避免XSS。

我得到它直到这里。htmlspecialchars() 函数将一些预定义的字符转换为 HTML 实体，htmlentities() 将字符转换为 HTML 实体，而 strip_tags() 则完全删除所有标签。

但是在使用 htmlspecialchars()、htmlentities() 和 strip_tags() 之后，输出现在呈现为

我认为这是安全的，但从数据库中获取时在首页上看起来不太好。

如何呈现通过 htmlspecialchars 或 htmlentities 传递的输入？

score 1 · Accepted Answer

我的建议是构建一个函数来清理所有文本输入，并构建一个函数来检查来自数据库或任何其他来源的所有输出，如下所示：

<?php
// filter for user input
function filterInput($content)
{
    $content = trim($content);
    $content = stripslashes($content);

    return $content;
}

//filter for viewing data
function filterOutput($content)
{
    $content = htmlentities($content, ENT_NOQUOTES);
    $content = nl2br($content, false);

    return $content;
}

根据您的策略，您可能会向过滤器添加额外功能或删除一些功能。但是您在这里拥有的功能足以保护您免受 XSS 攻击。

编辑：除了上述功能外，这个答案也可能与您的网站保护有关。

参考不同的方法：

修剪： http: //php.net/manual/en/function.trim.php
stripslashes：http://php.net/manual/en/function.stripslashes.php
htmlentities：http://php.net/manual/en/function.htmlentities.php
nl2br： http ://php.net/manual/en/function.nl2br.php

查看以下链接也是一个好主意：

重要的是，了解前 10 大风险并了解更多信息是件好事。

https://www.owasp.org/index.php/Top_10_2013-Top_10

score 0 · Accepted Answer

我不确定这是否是解决问题的正确方法，但我在 php 手册中找到了一个函数“htmlspecialchars_decode()”。该手册说它与“htmlspecialchars()”完全相反。我试过了，效果很好。

html_entity_decode() 函数与 htmlentities() 相反。

score 0 · Accepted Answer

我使用了HTMLPurifier，它是一个 PHP 过滤器库来清理 HTML 输入。

使用 HTML 内容清理 POST 内容

php - 清理输入但输出不如预期

3 回答 3

Related