防止在表单输入字段中输入HTML

Question

我来自于阅读有关XSS的内容，我担心（恶意）人们将HTML代码输入到我的表单字段中，例如通过<script> </script>标记的JavaScript。如何防止XSS或阻止用户在输入字段中输入HTML代码？对不起，看起来很简单。

Answer 1

您无法阻止用户输入此文本，但您应该处理他们所做的情况。 如果将表单字段的文本发送到服务器，则假定用户使用脚本或其他工具生成http请求，而不是在浏览器中生成http请求。 应在服务器上验证所有用户输入。但是，在许多情况下，如果您已在浏览器中进行了某些验证，则对非恶意用户有帮助。但这对用户来说很好，而不是安全措施。

Answer 2

如果您使用的是PHP，请使用htmlentities($input_data)或htmlspecialchars($input_data)函数绕过HTML标记并阻止执行。