htmlentities（）は弾丸ですか？

Question

私はPHP関数htmlentities（）をXSS攻撃やhtmlspecialcharsなどの関連する関数に対して使用することのセキュリティについて尋ねていました。あなたが明示的に適切なエンコード（例えば：UTF-8）を指定する必要があります

おかげでたくさん:)

Answer 1

は、クリスも、適切なエンコードせずにhtmlentitiesを呼び出すコードを挿入する方法についての記事がありました。

http://shiflett.org/blog/2005/dec/google-xss-example

Answer 2

それはあなたに100％を節約することはありません、防弾ではありません。セキュリティに関しては、開発者が責任を負うことを忘れないでください。言語は多くのセキュリティ機能を提供しますが、ホワイトリストアプローチやブラックリストアプローチを使用するかどうかは、開発者自身がサイトをどのように保護するかにかかっています。 htmlentitiesがすべての場合、codeigniter、kohanaなどのフレームワークは、独自の優れたセキュリティ機能を提供していないでしょう。

最も重要なことは、ユーザーからの入力をサニタイズしてフィルタリングすることです。

Answer 3

いいえ、htmlspecialcharsおよびhtmlentitiesのような機能は、すべてのクロスサイトスクリプティングの防御にはなりません。これらの機能は助けにはなりませんした

事例は以下のとおりです。

• ザ・サーバ（DOMベースのXSS）に到達していないデータを活用します。
• エクスプロイトデータはHTMLコンテキストでのみ解釈され、これらの関数でエンコードされた特殊文字はnot requiredまたはnot the only ones that are special in the corresponding contextのいずれかです。

特に、後者の理由がしばしば見逃されます。 OWASP’s XSS Prevention Cheat Sheetには、HTML文書で注入が行われる例がたくさんあります。しかし、JavaScriptコードを挿入して実行するためにHTMLの特殊文字を必要とするわけではありません。