Comment désinfecter la saisie des utilisateurs pour empêcher les XS dans PHP?

Pour empêcher les XSS dans PHP, désinfectez la saisie des utilisateurs et la sortie d'échappement en fonction du contexte à l'aide de htmlSpecialCars () pour HTML, JSON_ENCODE () pour JavaScript, et valider strictement avec Filter_Var () pour les types de données attendues, tout en évitant les fonctions déamorcées et en utilisant des en-têtes de sécurité de contenu-sécurité pour une protection supplémentaire.

Pour éviter les scripts croisés (XSS) dans PHP, il est essentiel de désinfecter correctement les entrées utilisateur. L'objectif est de s'assurer que toutes les données reçues des utilisateurs - si les formulaires, les URL ou les API - ne sont pas interprétés comme du code exécutable par le navigateur. Voici comment vous pouvez désinfecter efficacement les entrées et sécuriser votre application.

Échappez la sortie en fonction du contexte

Ne comptez jamais uniquement sur la contribution désinfectée; Échappez toujours la sortie en fonction de l'endroit où il est utilisé dans la page. C'est le moyen le plus efficace d'empêcher les XS.

• Utilisez htmlSpecialChars () lors de la sortie des données dans le contenu HTML:
echo htmlSpecialChars ($ userInput, ent_quotes, 'utf-8');
• Pour les contextes JavaScript, utilisez json_encode () pour intégrer en toute sécurité les données:
var userdata == json_encode($userInput, JSON_HEX_TAG | JSON_HEX_APOS | JSON_HEX_QUOT); ?> ;
• Lors de l'insertion de CSS ou d'URL, appliquez un filtrage ou une validation plus stricte, car htmlSpecialCars () ne protégera pas ces contextes.

Valider les entrées strictement

La désinfection fonctionne mieux aux côtés de la forte validation. Autorisez uniquement les types de données et les formats attendus.

• Pour les nombres: utilisez filter_var () avec filter_validate_int ou filter_validate_float
• Pour les e-mails: filter_var ($ e-mail, filter_validate_email)
• Pour les chaînes: définir des modèles autorisés en utilisant des expressions régulières ou vérifiez une liste blanche de personnages
• Rejeter les entrées qui ne correspondent pas aux attentes au lieu d'essayer de «nettoyer» tout

Utilisez des fonctions de filtre intégrées pour la désinfection

PHP fournit la fonction filter_var () pour désinfecter les types d'entrée courants:

• Supprimer les balises et coder des caractères spéciaux: filter_var ($ entrée, filter_sanitize_string) (déprécié dans PHP 8.1, alors évitez dans de nouveaux projets)
• Désinfecter les e-mails: filter_var ($ e-mail, filter_sanitize_email)
• Url désinfectée: filter_var ($ url, filter_sanitize_url)

Dans les versions PHP modernes, préfèrent la validation manuelle et s'échapper sur les filtres obsolètes.

Évitez la contribution des utilisateurs bruts dans des contextes dangereux

N'insérez jamais les données utilisateur directement dans les attributs HTML, JavaScript, CSS ou SQL sans manipulation appropriée.

• N'utilisez pas la saisie de l'utilisateur dans EVAL () , InnerHTML ou Blocks de script dynamique
• Si vous devez accepter HTML (par exemple, à partir d'un éditeur de texte riche), utilisez une bibliothèque de confiance comme le purificateur HTML pour les éléments sûrs de la liste blanche et dépuisez les scripts malveillants
• Définissez les en-têtes de politique de sécurité du contenu (CSP) pour réduire l'impact des XS potentiels

Fondamentalement, désinfecter avec prudence, valider strictement et s'échapper à fond à la sortie. S'appuyer sur une méthode ne suffit pas - la défense enracée maintient votre application plus sûre.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!