php防范xss的方法有在輸出html時(shí)，加上Content Security Policy的Http Header；在設(shè)置Cookie時(shí)，加上HttpOnly參數(shù)；檢驗(yàn)請(qǐng)求的Referer參數(shù)

php防范xss

1、PHP直接輸出html的，可以采用以下的方法進(jìn)行過(guò)濾：

htmlspecialchars函數(shù)

htmlentities函數(shù)

HTMLPurifier.auto.php插件

RemoveXss函數(shù)

2、PHP輸出到JS代碼中，或者開(kāi)發(fā)Json API的，則需要前端在JS中進(jìn)行過(guò)濾：

盡量使用innerText(IE)和textContent(Firefox),也就是jQuery的text()來(lái)輸出文本內(nèi)容

必須要用innerHTML等等函數(shù)，則需要做類似php的htmlspecialchars的過(guò)濾

3、其它的通用的補(bǔ)充性防御手段

在輸出html時(shí)，加上Content Security Policy的Http Header

作用：可以防止頁(yè)面被XSS攻擊時(shí)，嵌入第三方的腳本文件等

缺陷：IE或低版本的瀏覽器可能不支持

2.在設(shè)置Cookie時(shí)，加上HttpOnly參數(shù)

作用：可以防止頁(yè)面被XSS攻擊時(shí)，Cookie信息被盜取，可兼容至IE6

缺陷：網(wǎng)站本身的JS代碼也無(wú)法操作Cookie，而且作用有限，只能保證Cookie的安全

3.在開(kāi)發(fā)API時(shí)，檢驗(yàn)請(qǐng)求的Referer參數(shù)

作用：可以在一定程度上防止CSRF攻擊

缺陷：IE或低版本的瀏覽器中，Referer參數(shù)可以被偽造