Question

怎么使用htmlspecialchars()避免XSS

<form id="topsearch" name="topsearch" method="post" action="/searchResult.php?back=/">

怎么使用htmlspecialchars()避免XSS 请大神举例解释一下

• 你的回答被采纳后将获得：
• 系统奖励15（财富值+成长值）+难题奖励10（财富值+成长值）+提问者悬赏10（财富值+成长值）

Answer 1

在PHP服务器端，对POST过来的值，进行实体化。用函数htmlspecialchars()进行过滤一下就可以了。
例如：
$name = htmlspecialchars($_POST['name']);

Answer 2

htmlspecialchars() 只是转译输入的字符串而已啊，而且只有特殊的几个符号(如 & ' " >< 等)才有转译。你如果转译后后台收到的就是你转译后的内容，这个用来防御XSS攻击有点麻烦。
你硬要用的话就是这样：$cahr = htmlspecialchars(需要转译的字符串);$en_char = htmlspecialchars_decode(转译后的字符串);