假设一些PHP代码通过首先将addslashes()然后htmlspecialchars()应用于HTML文档来回显已清理的输入。我听说这是一种不安全的方法，但无法弄清楚原因。
任何关于可以将哪种格式应用于危险输入（例如脚本标记中的JavaScript）以绕过两个函数强加的安全措施的建议都将受到赞赏。
答案 0 :(得分：3)
addslashes与XSS无关（在实际有用的地方几乎总会有更好的东西）。
htmlspecialchars不是一种不安全的方法。这本身就是不够的。
htmlspecialchars将保护您。
如果您将内容作为“安全”属性的值，如果您也正确引用该值，它将保护您。
如果您将其作为“不安全”属性或元素（其内容可被视为JavaScript）的值（例如<script>，onmoseover，{{}，则无法保护您1}}或href。
例如：
style会给你：
<!-- http://example.com/my.php?message=", steal_your_cookies(), " -->
<!-- URL not encoded for clarity. Imagine the definition of steel_your_cookies was there too -->
<button onclick='alert("<?php echo htmlspecialchars($_GET['message']); ?>")'>
click me
</button>
表示与：
相同<button onclick='alert("", steal_your_cookies(), "")'>
click me
</button>
单击按钮时会窃取您的cookie。