跨站攻击，看了有点蒙，求解

Question

<form method="post" action="test_form.php"/><script>alert('hacked')</script>为何这样的是不安全的htmlspecialchars处理后 <form method="post" action="test_form.php/"><script>alert('hacked')</script>">这样是安全的test_form.php"/ 小白怎么看都觉得只是两个" /换了个位置出自http://www.w3school.com.cn/php/php_form_validation.asp

Answer 1

这里有篇文章，传送门：
XSS 与 CSRF 两种跨站攻击

Answer 2

原谅我刚才看错了，还以为只讨论htmlspecialchars。

防范xss首先应从格式规范上面入手。比如你那个页面表单里的姓名、电邮、网址，都是有格式的，取得参数值的时候用正则表达式或者手写个函数校验一下，能省不少事情。

再比如评论这种没有格式规范的，或者格式当中允许出现html格式字符的，在输入或者输出的地方，用htmlspecialchars处理一下。这个函数的作用就是把一些html格式字符转化为实体，这样就会直接显示出来而不会被解析了。