Question

我有staff.php页面，其中包含员工的姓名，职位和详细信息。当用户需要编辑员工信息时，他们会被发送到edit.php页面。edit.php页面显示名称和text field上的标题和textarea

上的详细信息

我的问题是，我是否需要htmlspecialchars页面中的edit.php。我不会在用户页面上打印任何内容，只会在该字段上打印。但我在htmlspecialchars上使用staff.php在打印给用户之前{1}}。

它仍然对XSS Attack开放吗？

代码

部分来自staff.php

$staff.="<div id='sob'>".htmlspecialchars($title)."<br>".htmlspecialchars($sub_title)."<div><a href='edit.php?pid=".htmlspecialchars($pro_id)."'><input type='submit' id='editx' name='editx' value='Edit'></a></div><div id=''><br>".htmlspecialchars($detail)."</div><hr id='h'></div>";

部分来自edit.php

if(isset($_GET["pid"])){
  $name4=$title;            //
  $sub_title4=$sub_title;   //using prepared statement  
  $detail4=$detail;         //
  }

  HTML part at edit.php

 <input type='text' id='staff_name' name='staff_name' value="<?php echo $name4;?>" required>
 </br><input type='text' id='staff_pos' name='staff_pos' value="<?php echo $sub_title4;?>" required>
 </br><textarea id='staff_detail' name='staff_detail' cols='30' rows='6'  required><?php echo $detail4;?></textarea></br>

Answer 1

当要在屏幕上显示变量时，不仅需要保护XSS;每当用户生成的值用于构建HTML标记时，无论上下文如何，都需要它。

必须在放置在htmlspecialchars()内的PHP变量上调用<textarea>。请考虑以下事项：

<?php
    // Unsafe text in the variable
    $detail4 = '</textarea><script>alert("XSS!");</script>';
?>

<textarea><?php echo $detail4; ?></textarea>

这导致关闭的</textarea>后面跟着一个不安全的注入脚本（以及浏览器可能忽略的另一个结束</textarea>。）

还需要对置于htmlspecialchars()属性中的变量调用value=""，选择适当的常量以确保变量中的内部引号被正确编码，以防止属性过早地以引号结束。如果您始终对属性使用双引号，则可以接受默认值ENT_COMPAT，但如果您有时引用带单引号的属性，请使用ENT_QUOTE。

<input type='text' name='staff_pos' value="<?php echo htmlspecialchars($sub_title4, ENT_QUOTES);?>" ...>

我甚至需要`htmlspecialchars（）`来获得textarea的价值

1 个答案: