Question

我昨天发了一个问题，我打算回到今天，但是我写了一些JavaScript作为防止XSS的第一线。然而，当我在我的实时服务器上测试它时，我抓住了一些无效的输入，因为javascript捕获了php部分。我的表单使用post和php不在我的表单项中（我没有输入）。这可能是采取表格行动或其他什么？我受到了保护，任何想法

这是我的代码，它在提交按钮上触发。

    function validateForBadNess(){

var theShit = new Array("*","^", "$", "(",")","{", "}","[", "]","\\", "|", "'","/","?",",","=",">","gt","lt", "<","script","`","´","php");
var tagName = new Array();

tagName[0] = "input";
tagName[1] = "select";
tagName[2] = "textbox";
tagName[3] = "textarea";

for (ms=0;ms<tagName.length;ms++){

 // loop through  the elements of the form
 var formItems = document.getElementsByTagName(tagName[ms]);

  for (var xs=0;xs<formItems.length;xs++){

   var thisString = formItems[xs].value;

   // loop through bad array
   for (zs in theShit){

    //alert(thisString + " " + thisString.indexOf(theShit[zs]))
    if(thisString.indexOf(theShit[zs]) >= 0){

    alert("Sorry but the following character: " + theShit[zs] + " is not permitted. Please omit it from your input.\nIf this is part of your password please contact us to heave your password reset.")
    return false;

    }

     }



  // loop for formitems 
  }

 // tagName toop
 }
// original condition
}

Answer 1

为什么不使用着名的 HTML Purifier ？

HTML Purifier符合标准   用PHP编写的HTML过滤器库。   HTML Purifier不仅会删除所有内容   恶意代码（俗称为   XSS）经过全面审核，
  它安全但宽容的白名单   还将确保您的文件   符合标准，只有一些东西   可以全面实现   了解W3C的规格。
  厌倦了使用BBCode   当前的景观缺陷或   不安全的HTML过滤器？有一个   WYSIWYG编辑但从未能够   用它？寻找高品质，   符合标准，开源   该应用程序的组件   你在建造？ HTML Purifier适用于   你！

Answer 2

在防范攻击方面，你所做的事情是完全没有必要和无用的。任何基于JavaScript的“保护”都将在几秒钟内被规避，合法用户将不会乐于无法使用$标志。始终假设任何传入的数据都已被篡改。

在服务器端输出数据时需要小心。对任何传入的文本数据使用htmlspecialchars()。如果您有传入的HTML需要“清理”，请使用Sarfraz建议的HTML净化器。

我的表格可能被黑客入侵

4 个答案: