跨站点脚本威胁

Question

我有一段代码可能会产生XSS风险。

<select size="1" name='department'>
    <option value='<?php echo $department?>' selected><?php echo $department?></option>
    <option value="Dept1">Dept1</option>
    <option value="Dept2">Dept2</option>

当我尝试用

替换该行时

<option value='<?php echo htmlspecialchars($department, ENT_QUOTES, 'UTF-8')?>' selected><?php echo htmlspecialchars($department, ENT_QUOTES, 'UTF-8')?></option>

它仍然将其识别为跨站点脚本威胁。有什么我可以错过

Answer 1

代码段代码执行输出编码并阻止它进行跨站点脚本编写。它将转换有效载荷，例如：

'"><test>

到

'"><test>

在某些其他页面或完整代码的上下文中可能存在其他原因，这可能是工具报告它的原因。