位置: 编程技术 - 正文

Yii2的XSS攻击防范策略分析(xss攻击解决方案)

编辑:rootadmin

推荐整理分享Yii2的XSS攻击防范策略分析(xss攻击解决方案),希望有所帮助,仅作参考,欢迎阅读内容。

文章相关热门搜索词:xss攻击怎么防范,xss攻击能达到怎样的一种效果,xss攻击能达到怎样的一种效果,xss攻击怎么防范,xss攻击能达到怎样的一种效果,xss攻击防御,xss起到防御的方案,xss攻击防御,内容如对您有帮助,希望把文章链接给更多的朋友!

本文实例讲述了Yii2的XSS攻击防范策略。分享给大家供大家参考,具体如下:

XSS 漏洞修复

原则: 不相信客户输入的数据注意: 攻击代码不一定在<script></script>中

① 将重要的cookie标记为http only, 这样的话Javascript 中的document.cookie语句就不能获取到cookie了.② 只允许用户输入我们期望的数据。 例如: 年龄的textbox中,只允许用户输入数字。 而数字之外的字符都过滤掉。③ 对数据进行Html Encode 处理④ 过滤或移除特殊的Html标签, 例如: script, iframe , < for <, > for >, " for⑤ 过滤JavaScript 事件的标签。例如 "onclick=", "onfocus" 等等。

Yii中的XSS防范

此方法的源码:

htmlspecialchars & htmlentities & urlencode 三者的区别:

flags constantsConstant Name DescriptionENT_COMPAT Will convert double-quotes and leave single-quotes alone.ENT_QUOTES Will convert both double and single quotes.ENT_NOQUOTES Will leave both double and single quotes unconverted.ENT_IGNORE Silently discard invalid code unit sequences instead of returning an empty string. Using this flag is discouraged as it » may have security implications.ENT_SUBSTITUTE Replace invalid code unit sequences with a Unicode Replacement Character U+FFFD (UTF-8) or &#FFFD; (otherwise) instead of returning an empty string.ENT_DISALLOWED Replace invalid code points for the given document type with a Unicode Replacement Character U+FFFD (UTF-8) or &#FFFD; (otherwise) instead of leaving them as is. This may be useful, for instance, to ensure the well-formedness of XML documents with embedded external content.ENT_HTML Handle code as HTML 4..ENT_XML1 Handle code as XML 1.ENT_XHTML Handle code as XHTML.ENT_HTML5 Handle code as HTML 5.

htmlspecialchars

Yii2的XSS攻击防范策略分析(xss攻击解决方案)

Convert special characters to HTML entities

The translations performed are:

& (ampersand) becomes &" (double quote) becomes " when ENT_NOQUOTES is not set.' (single quote) becomes &#; (or ') only when ENT_QUOTES is set.< (less than) becomes <> (greater than) becomes >

htmlentities

Convert all applicable characters to HTML entities

urlencode

URL 编码是为了符合url的规范。因为在标准的url规范中中文和很多的字符是不允许出现在url中的。

例如在baidu中搜索"测试汉字"。 URL会变成 把所有非字母数字字符都将被替换成百分号(%)后跟两位十六进制数,空格则编码为加号(+) 此字符串中除了 -_. 之外的所有非字母数字字符都将被替换成百分号(%)后跟两位十六进制数,空格则编码为加号(+)。此编码与 WWW 表单 POST 数据的编码方式是一样的,同时与 application/x-www-form-urlencoded 的媒体类型编码方式一样。由于历史原因,此编码在将空格编码为加号(+)方面与 RFC 编码(参见 rawurlencode())不同。

更多关于Yii相关内容感兴趣的读者可查看本站专题:《Yii框架入门及常用技巧总结》、《php优秀开发框架总结》、《smarty模板入门基础教程》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总》

希望本文所述对大家基于Yii框架的PHP程序设计有所帮助。

Yii2基于Ajax自动获取表单数据的方法 本文实例讲述了Yii2基于Ajax自动获取表单数据的方法。分享给大家供大家参考,具体如下:这里有两张表,表结构如下,locations表存放的省份和邮编等信

Yii2实现上下联动下拉框功能的方法 本文实例讲述了Yii2实现上下联动下拉框功能的方法。分享给大家供大家参考,具体如下:首先我先解释下什么是上下联动的下拉框假如一个view里面有两

Yii2实现同时搜索多个字段的方法 本文实例讲述了Yii2实现同时搜索多个字段的方法。分享给大家供大家参考,具体如下:Yii2中搜索字段是用的andFilterWhere这个方法,用它可以搜索一个一

标签: xss攻击解决方案

本文链接地址:https://www.jiuchutong.com/biancheng/301558.html 转载请保留说明!

上一篇:PHP通过加锁实现并发情况下抢码功能(php常用加密方式)

下一篇:Yii2基于Ajax自动获取表单数据的方法(ajax自动带cookie)

  • 国际避税地是什么
  • 签证费没有发票可以入账吗
  • 转账支票开给个人收款人怎么写
  • 库存现金盘盈盘亏的账务处理
  • 二手房增值税如何交
  • 新会计准则有预提费用吗
  • 企业取暖费怎么做会计分录
  • 本月征期2021
  • 周转材料摊销属于什么费用
  • 物业做账的时候怎么做
  • 坏账准备一般余额在哪方
  • 企业纳税总额包含哪些
  • 餐饮增值税发票税率
  • 查账征收企业所得税年度申报
  • 企业增值税税负率与利润率的关系
  • 企业账户短信提醒可以用别人手机号吗
  • 申报水利基金减免性质在哪里找?
  • 税号里的0是字母还是数字
  • 营改增后小规模纳税人转一般纳人
  • 会计股权分配
  • 在建工程和工程物资在资产负债表
  • 为什么利息收入是负数
  • 销售收入交的印花税谁交
  • 增值税一般纳税人与小规模纳税人的区别
  • 个人所得税适合月度税率表有哪些
  • 如何在Windows10中打开命令提示符?
  • 行政事业单位往来票据使用范围
  • 为什么win10系统更新不了
  • tp-link无线路由器怎么样
  • php 设计模式 鸟哥
  • php实现文件下载功能
  • 虚开发票的管理办法是什么?
  • 山茶花的养殖方法和注意事项视频
  • 前端几种下载文件
  • Prometheus告警规则配置
  • Spring Security(七)-- AuthenticationProvider
  • 出口退税进项税额转出怎么申报
  • 发票校验码的作用
  • rust基础操作
  • dedecms转zblog
  • python解释器的多种使用
  • sql 覆盖索引
  • 归还股东借款要交税吗
  • 未交增值税如何计提
  • 购买固定资产会计凭证
  • 稳岗补贴操作
  • 减值准备的会计科目
  • 衍生工具什么意思
  • 发工资时多打给员工的钱
  • 代扣代缴附加税怎么做账
  • 对方要求先开发票怎么办
  • 出租车票没有发票怎么办
  • mysql启动服务器失败
  • windows xp运行
  • windows7个性化菜单
  • 主板设置uefi模式
  • ubuntu 2021
  • win7开机显示一堆英文
  • windows mobile10
  • linux diy
  • ObjectAnimator Demo
  • Android游戏开发实践指南
  • perl的正则表达式语法
  • perl中qw
  • opengl 函数可以在子线程中调用吗
  • 行为怪异的人有问题吗
  • unity shader lod
  • three.js碰撞检测
  • jquery动态添加div
  • shell生成excel文件
  • 严格模式的作用
  • python socks
  • jquery事件委托原理
  • javascript与java
  • jquery 3.5
  • wordpress基于什么语言
  • 新疆税务局网站官网首页
  • 广东省电子税务局电话
  • 劳务报酬所得个人所得税计算方法
  • 法治税务示范基地枫桥
  • 免责声明:网站部分图片文字素材来源于网络,如有侵权,请及时告知,我们会第一时间删除,谢谢! 邮箱:opceo@qq.com

    鄂ICP备2023003026号

    网站地图: 企业信息 工商信息 财税知识 网络常识 编程技术

    友情链接: 武汉网站建设