XSSを防ぐために、HTML形式でユーザー入力をhtmlspecialchars（）する必要がありますか？

Question

これまでに尋ねられたことがお詫び申し上げますが、この場合、あまりにも過小ではなく、そこに情報の過負荷があると感じています。私が見ているところには矛盾する意見があるようです。 説明があれば幸いです。

私はユーザー登録フォームを持っています。私はさまざまなフィールドを検証しましたが、私はhereを読んで出力（ユーザープロファイルなど）を残すことをお勧めしていますので、データ（例：htmlspecialchars）にサニタイズ機能を使用していません。私はデータを挿入するためにPDO準備文を使用していますので、私が知る限り安全です。

しかし、私のドメインをさまざまな脆弱性スキャナーで実行していると、登録フォームが非常に危険であり、XSS攻撃の犠牲になる可能性があると報告しました。修正後に再提出するように、彼らは、別のフィールドにエラーが発生している

<input type="text" placeholder="Username" name="user" maxlength="32" value="<?php echo test_input($user); ?>" pattern="^[a-zA-Z0-9]*$" required> 

私は場合には、フォームに戻って、そのユーザーの入力をエコー-INGの午前：私は次のようにこれが原因となったコードのスニペットを考えています。したがって、潜在的に有害なスクリプトがページにエコーされる可能性があります。

ただし、確かにこれは特定のユーザーからの入力だけですか？彼らが引き起こす可能性のある唯一の害は自分自身です。スキャナが間違っているのですか、または私はほとんどそのリスクに気づいていませんか？

一般的な文字列、電子メールアドレス、URLのフィールドがあります。私のサイトへの訪問者の安全を確保するために、どのような措置を取る必要がありますか？

ご協力いただきありがとうございます。私に教えてください。

EDIT

function test_input($data) 
    { 
    $data = trim($data); 
    $data = stripslashes($data); 
    $data = htmlspecialchars($data, ENT_QUOTES | ENT_HTML5, 'UTF-8'); 
    return $data; 
    } 

Answer 1

は、私はXSSを防ぐために、HTML形式ではhtmlspecialcharsに（）ユーザの入力が必要ですか？

何かが必要です。 htmlspecialcharsは一般的には良い選択です。これは単純で入力を破壊しません。

ただし、確かにこれは特定のユーザーからの入力ですか？

これは、特定のユーザーのブラウザからの入力です。

そのユーザーは、サイトのフォームに入力のデフォルト値としてXSS攻撃を加える悪意のある第三者サイトにアクセスした可能性があります。次に、フォームのactionをサイトのに設定しました。その後、JSでフォームを送信します。

結果：コードはユーザーのブラウザによってサイトに挿入され、JSはサイト上で実行されます（ユーザーのCookieおよびセッションにアクセスできる）。

Answer 2

変数を別のコンテキストに挿入するときは、それらが壊れていないことを確認して親要素に追加の属性を追加するために、htmlspecialchars()（または上記のnoHTML()）を介して変数を実行する必要があります。

これは安全です：

<input type="text" name="username" value="<?php echo noHTML($htmlp->purify($_GET['username'])); ?>" /> 

この、あまりにも、XSS攻撃に対して安全であるが、それでも悪いアイデア：結局のところ

<?php echo $htmlp->purify("<input type=\"text\" name=\"username\" value=\"".$_GET['username']."\" />"); ?> 

、コンテキストがクロスを防止するために多くの重要サイトスクリプティング攻撃あるコンテキストで安全なもの（HTMLなどが許可されているもの）は、他のコンテキストでは悲惨なものになる可能性があります（たとえば、HTML属性の途中です）。

完全なソース：https://paragonie.com/blog/2015/06/preventing-xss-vulnerabilities-in-php-everything-you-need-know

Answer 3

値が永続化されていないと、彼らは、コードを提出する場合にも注入し、XSS攻撃するので、私は、あなたがいない、多くのリスクが存在しない、記載された正確なシナリオに言うつもりですそれは自分の見解だけに影響します。
しかし、エンコードされていない値をユーザーに出力するのは良い方法ではありません。そして、ページが後で変更された場合、または値が永続化され、後で何らかの管理ページでエンコードされずに表示される場合はどうなりますか？彼らはあなたのサイトにXSS攻撃を注入することができました。 ユーザが入力した値を表示する前に、常にエンコードすることをお勧めします。