入侵-PHP的防御XSS注入的终极解决方案【信息安全】【Hack】

补充:
你说的对,毕竟很多时候要把AJAX加载的数据用innerHTML添加到页面.
值得注意的是,innerHTML本质也是输出HTML,
所以我们可以在输出前用JS像PHP的htmlspecialchars那样
把特殊字符(&,",',<,>)替换为HTML实体(&"'<>).
或者干脆直接用innerTehttp://bbs.wdzj.com/xt(IE)和tehttp://bbs.wdzj.com/xtContent(Firefohttp://bbs.wdzj.com/x),也就是jQuery的tehttp://bbs.wdzj.com/xt()来输出文本内容.
StackOverflow上找的两个实现:

function escapeHtml(tehttp://bbs.wdzj.com/xt) {
    return tehttp://bbs.wdzj.com/xt
        .replace(/&/g, "&")
        .replace(//g, ">")
        .replace(/"/g, """)
        .replace(/'/g, "'");
}
function escapeHtml(tehttp://bbs.wdzj.com/xt) {
    var map = {
        '&': '&',
        '<': '<',
        '>': '>',
        '"': '"',
        "'": '''
    };
    return tehttp://bbs.wdzj.com/xt.replace(/[&<>"']/g, function(m) { return map[m]; });
}

方法一，利用php htmlentities函数

php防止XSS跨站脚本攻击的方法:是针对非法的HTML代码包括单双引号等，使用htmlspecialchars()函数 。

在使用htmlspecialchars()函数的时候注意第二个参数, 直接用htmlspecialchars($string) 的话,第二个参数默认是ENT_COMPAT,函数默认只是转化双引号(“), 不对单引号(‘)做转义。

所以,htmlspecialchars函数更多的时候要加上第二个参数, 应该这样用: htmlspecialchars($string,ENT_QUOTES).当然,如果需要不转化如何的引号,用htmlspecialchars($string,ENT_NOQUOTES)。

另外, 尽量少用htmlentities, 在全部英文的时候htmlentities和htmlspecialchars没有区别,都可以达到目的.但是,中文情况下, htmlentities却会转化所有的html代码，连同里面的它无法识别的中文字符也给转化了。

htmlentities和htmlspecialchars这两个函数对 '之类的字符串支持不好,都不能转化, 所以用htmlentities和htmlspecialchars转化的字符串只能防止XSS攻击,不能防止SQL注入攻击.

所有有打印的语句如echo，print等 在打印前都要使用htmlentities() 进行过滤，这样可以防止Xss，注意中文要写出htmlentities($name,ENT_NOQUOTES,GB2312) 。

方法二，给一个函数

function http://bbs.wdzj.com/xss_clean($data){
 // Fihttp://bbs.wdzj.com/x &entity＼n;
 $data=str_replace(array('&','<','>'),array('&amp;','&lt;','&gt;'),$data);
 $data=preg_replace('/(&#*＼w+)[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]+;/u','$1;',$data);
 $data=preg_replace('/(&#http://bbs.wdzj.com/x*[0-9A-F]+);*/iu','$1;',$data);
 $data=html_entity_decode($data,ENT_COMPAT,'UTF-8');
 // Remove any attribute starting with "on" or http://bbs.wdzj.com/xmlns
 $data=preg_replace('#(<[^>]+?[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20"＼'])(?:on|http://bbs.wdzj.com/xmlns)[^>]*+>#iu','$1>',$data);
 // Remove javascript: and vbscript: protocols
 $data=preg_replace('#([a-z]*)[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*=[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*([`＼'"]*)[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*j[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*a[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*v[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*a[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*s[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*c[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*r[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*i[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*p[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*t[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*:#iu','$1=$2nojavascript...',$data);
 $data=preg_replace('#([a-z]*)[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*=([＼'"]*)[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*v[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*b[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*s[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*c[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*r[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*i[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*p[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*t[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*:#iu','$1=$2novbscript...',$data);
 $data=preg_replace('#([a-z]*)[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*=([＼'"]*)[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*-moz-binding[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*:#u','$1=$2nomozbinding...',$data);
 // Only works in IE: 
 $data=preg_replace('#(<[^>]+?)style[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*=[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*[`＼'"]*.*?ehttp://bbs.wdzj.com/xpression[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*＼([^>]*+>#i','$1>',$data);
 $data=preg_replace('#(<[^>]+?)style[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*=[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*[`＼'"]*.*?behaviour[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*＼([^>]*+>#i','$1>',$data);
 $data=preg_replace('#(<[^>]+?)style[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*=[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*[`＼'"]*.*?s[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*c[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*r[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*i[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*p[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*t[＼http://bbs.wdzj.com/x00-＼http://bbs.wdzj.com/x20]*:*[^>]*+>#iu','$1>',$data);
 // Remove namespaced elements (we do not need them)
 $data=preg_replace('#]*+>#i','',$data);
 // http://www.111cn.net/
 do{// Remove really unwanted tags
  $old_data=$data;
  $data=preg_replace('#]*+>#i','',$data);
 }while($old_data!==$data);
 // we are done...
 return $data;
}

想要“完美”防御XSS，就要每个开发都完全了解XSS的知识，在合适的场景用合适的方案来编码

推荐参考：
https://www.owasp.org/indehttp://bbs.wdzj.com/x.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

任何用一个函数／一个库来解决这个问题的努力都是白日做梦。

重新再贴一边：
https://www.owasp.org/indehttp://bbs.wdzj.com/x.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

永远不可能完美防御，但至少可以挡住99%（剩下的1%才是最凶猛的～～～），目前的统一做法是，做好输入检查，良好的编程意识，安全转义，借助第三方安全库。不要信任输入。也不要信任输出。

为什么不用 CSP 直接一了百了呢？