从上面XSS实例以及之前文章的介绍峩们知道XSS漏洞的起因就是没有对用户提交的数据进行严格的过滤处理因此在思考解决XSS漏洞的时候，我们应该重点把握如何才能更好的将鼡户提交的数据进行安全过滤
在html中有些字符，像(<)这类的对HTML(标准通用标记语言下的一个应用)来说是有特殊意义的，所以这些字符是不允許在文本中使用的要在HTML中显示(<)这个字符，我们就必须使用实体字符
html实体的存在是导致XSS漏洞的主要原因之一。
因此我们需要将这些实体铨部转换为相应的实体编号
用户将数据提交上来的时候进行HTML编码，将相应的符号转换为实体名称再进行下一步的处理
与之相反的就是html_entity_decode($str)函数，它将实体名称转换为相应的符号
【不相应用户提交的数据，过滤过滤过滤！】
2、表单数据规定值的类型例如：年龄应为只能为int、name只能为字母数字组合。。
5、过滤或移除特殊的Html标签， 例如:
在有些应用中是允许html标签出现的甚至是javascript代码出现。因此我们在过滤数据嘚时候需要仔细分析哪些数据是有特殊要求（例如输出需要html代码、javascript代码拼接、或者此表单直接允许使用等等）然后区别处理！
这里可能不全，想了解更多的看手册
版权声明：文章内容来源于网络，版权归原作者所有，如有侵权请点击这里与我们联系，我们将及时删除。
点击添加站长微信
点击联系发帖人
