javascript - 防止 JavaScript 注入(inject)

Question

假设我有一个表单，用户可以通过该表单输入一些信息并使用 php 提交给服务器，我已经说过用 PHP 代码

$data = $_POST['data'];
// or
$data = strip_tags(@$_POST['data']);

1. 我想知道 strip_tags() 是否足以阻止通过 html 表单注入(inject) javascript。如果不是，这还能如何预防。我读过here .

2. 还说我在浏览器地址栏中输入 javascript:void(document.bgColor="blue")，这会将整个网站的背景颜色更改为蓝色。如何防止通过地址栏注入(inject)javascript。

谢谢。

Answer 1

我建议当你想向浏览器输出一些东西时使用htmlspecialchars

echo htmlspecialchars($data, ENT_QUOTES, 'UTF-8');

结帐this