我应该同时使用striptags（）和htmlspecialchars（）来阻止XSS吗？

Question

这是否取决于输入是否将打印给用户？在我的情况下，我需要将输入返回给用户（评论和生物）。

感谢!!!

Answer 1

htmlspecialchars()足以阻止XSS。

条带标记会删除标记，但不会删除"或'等特殊字符，因此如果您使用strip_tags()，则还必须使用htmlspecialchars()。

如果您希望用户的评论与他们输入的一样显示，请不要使用strip_tags，仅使用htmlspecialchars（）。