整理php防注入和XSS攻击通用过滤(整理php防注入和注入)

发布时间：2024-01-03

推荐整理分享整理php防注入和XSS攻击通用过滤(整理php防注入和注入)，希望有所帮助，仅作参考，欢迎阅读内容。

文章相关热门搜索词:整理php防注入和注入区别,整理php防注入和注入区别,php sql防注入,整理php防注入和注入区别,整理php防注入和注入区别,整理php防注入和注入区别,php 防注入,整理php防注入和注入区别,内容如对您有帮助，希望把文章链接给更多的朋友！

对网站发动XSS攻击的方式有很多种，仅仅使用php的一些内置过滤函数是对付不了的，即使你将filter_var,mysql_real_escape_string,htmlentities,htmlspecialchars,strip_tags这些函数都使用上了也不一定能保证绝对的安全。

那么如何预防 XSS 注入？主要还是需要在用户数据过滤方面得考虑周全，在这里不完全总结下几个 Tips

1. 假定所有的用户输入数据都是“邪恶”的 2. 弱类型的脚本语言必须保证类型和期望的一致 3. 考虑周全的正则表达式 4. strip_tags、htmlspecialchars 这类函数很好用 5. 外部的 Javascript 不一定就是可靠的 6. 引号过滤必须要重点注意 7. 除去不必要的 HTML 注释 8. Exploer 求你放过我吧……

方法一，利用php htmlentities函数

例子

php防止XSS跨站脚本攻击的方法:是针对非法的HTML代码包括单双引号等，使用htmlspecialchars()函数。在使用htmlspecialchars()函数的时候注意第二个参数, 直接用htmlspecialchars($string) 的话,第二个参数默认是ENT_COMPAT,函数默认只是转化双引号(“), 不对单引号(‘)做转义.

所以,htmlspecialchars函数更多的时候要加上第二个参数, 应该这样用: htmlspecialchars($string,ENT_QUOTES).当然,如果需要不转化如何的引号,用htmlspecialchars($string,ENT_NOQUOTES).另外, 尽量少用htmlentities, 在全部英文的时候htmlentities和htmlspecialchars没有区别,都可以达到目的.但是,中文情况下, htmlentities却会转化所有的html代码，连同里面的它无法识别的中文字符也给转化了。htmlentities和htmlspecialchars这两个函数对&#;&#;之类的字符串支持不好,都不能转化, 所以用htmlentities和htmlspecialchars转化的字符串只能防止XSS攻击,不能防止SQL注入攻击.

所有有打印的语句如echo，print等在打印前都要使用htmlentities() 进行过滤，这样可以防止Xss，注意中文要写出htmlentities($name,ENT_NOQUOTES,GB) 。

方法二，什么也不多说我们给一个函数

例子

方法三：

PHP概率计算函数汇总其实发这篇博感觉并没有什么用，太简单了，会的人不屑看，不会的人自已动动脑子也想到了。但是看着自已的博客已经这么久没更，真心疼~。粗略算

php上传功能集后缀名判断和随机命名(强力推荐) 不废话了，具体请看下文代码示例讲解。form.phphtmlheadmetahttp-equiv="content-type"content="text/html"charset="utf-8"titleUploadImage/title/headbodyformmethod="post"action="upload.php"

PHP中error_reporting()用法详解 error_reporting()函数规定报告哪个错误。该函数设置当前脚本的错误报告级别。该函数返回旧的错误报告级别。首先要知道error_reporting()函数是用来设置错