クロスサイトスクリプトはPHPフォームでは動作しません

Question

私は自分のウェブページの1つで、次のようなHTML構文で動作するPHPページを提供しています。

<form name="form" action="test.php" method="get"> 

私は

<form name="form" action="<?php echo htmlspecialchars('test.php') ?>" method="get"> 

にこれを変更したが、それでも私はアドレスバーに次のURLを入力すると、それがブラウザに出力

http://www.example.com/test.php/%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E 

は

http://www.example.com/test.php/"><script>alert('hacked')</script> 

あります間違っています。またはクロスサイトスクリプティング。私は間違っているmをガイドしてください。

Answer 1

ページにユーザー入力を直接入力しないでください。あなたはいつも最初にそれを消毒したい。

推奨される方法は、ユーザー入力をホワイトリストに登録することです。これは、無効な属性ではなく有効な属性をチェックすることを意味します。

最も安全なことは、ホワイトリストを満足するものに変換しようとする代わりに、ホワイトリストを満たしていないすべての入力を拒否することです。

詳細については、OWASPのサイトを参照してください。 Hereはホワイトリスト入力のガイドラインです。