|
锁定老帖子 主题：关于XSS 攻击的解决办法！
精华帖 (0) :: 良好帖 (1) :: 新手帖 (15) :: 隐藏帖 (0)
|
|
|---|---|
| 作者 | 正文 |
|
发表时间：2009-09-22
willko 写道 php里要解决xss比较好的方案是用HTML Purifier，它过滤xss，还可以自动填补没关闭的标签。。自定义过滤规则，很强大
哈哈，刚看了下，确实不错！谢谢兄弟了！ |
| 返回顶楼 | |
|
发表时间：2009-09-22
活靶子 写道 微软有个Anti-Cross Site Scripting Library 是.net托管程序集 反编译一下照着画成php的就基本能用了
嗯，这个我前几天在MSDN里也有看到过！MS不错的！！ |
| 返回顶楼 | |
|
发表时间：2009-09-23
最后修改：2009-09-23
menuhin 写道 活靶子 写道 微软有个Anti-Cross Site Scripting Library 是.net托管程序集 反编译一下照着画成php的就基本能用了
嗯，这个我前几天在MSDN里也有看到过！MS不错的！！ 这个作为项目的检测和修改成本太高。不过确实值得一试 |
| 返回顶楼 | |
|
发表时间：2009-09-29
htmlspecialchars 函数不行么？
|
| 返回顶楼 | |
|
发表时间：2009-09-30
提交表单可以用httpclient类的工具来实现的，所以页面上判断是肯定不够的，要防注入就得在后台接收表单的时候处理下，或者对要执行的sql进行检查。
|
| 返回顶楼 | |
|
发表时间：2009-10-21
SafeHtml 可以不???
HTML富文本过滤的...我觉得不错 这里有介绍http://www.80sec.com/richtext-xssfilter.html |
| 返回顶楼 | |
|
发表时间：2009-10-26
xiaoyu 写道 不要再输入后过滤，然后存到数据库里面， 这样的危险性很大，而且数据不能跨平台（非HTML的客户端）。
为什么不能输入后过滤，是因为，今天可能是<>引起了问题， 明天可能会有更多的以前没有注意到的安全问题（例如>也有问题了，仅仅举例子）。输入后过滤仅仅为了不要每次都过滤，省下了一些性能， 但是可以用生成静态文件，缓存等等方式解决的。 输出前过滤是最好的方法。 保存到数据库之前过滤有一个很大的好处，就是显示的地方多，不需要在每个显示的地方，模板的代码简单些，而插入的代码只在一个地方。 而php自带的函数可以正反切换，如果需要原来字符的话调一下好了。 所以没有一定最好的办法。 |
| 返回顶楼 | |
|
发表时间：2009-12-11
问题我说了， 是安全问题， 还有法律问题。 自己看吧
|
| 返回顶楼 | |
