Untuk mengurangkan kelemahan XSS dalam aplikasi PHP, kita perlu bermula dari empat aspek: penapisan input, pelarian output, dasar CSP dan fungsi keselamatan kerangka. 1. Sahkan dan tapis semua input pengguna, gunakan fungsi filter_var () untuk mengesahkan format data, dan membersihkan kandungan HTML melalui pembersih HTML; 2. Melarikan diri mengikut konteks apabila output, seperti menggunakan htmlspecialchars () untuk memproses kandungan HTML, dan menanamkan JavaScript dengan json_encode (); 3. Membolehkan Dasar Keselamatan Kandungan (CSP), tetapkan tajuk HTTP untuk mengehadkan sumber skrip, dan anda boleh menggunakan mod laporan sahaja untuk mengumpul maklumat dalam peringkat pembangunan; 4. Gunakan mekanisme terbina dalam rangka kerja, seperti templat bilah Laravel untuk melepaskan pembolehubah secara lalai untuk mengelakkan splicing kandungan tidak selamat.

XSS (serangan skrip lintas tapak) adalah salah satu kelemahan keselamatan bersama dalam aplikasi web, dan aplikasi PHP tidak terkecuali. Untuk mengurangkan masalah jenis ini dengan berkesan, kunci adalah untuk menapis input pengguna dengan ketat, mengekod output dan menggunakan mekanisme pertahanan moden.

1. Penapis dan sahkan semua input pengguna

Input pengguna tidak boleh dipercayai secara langsung. Sama ada penyerahan bentuk, parameter URL atau data cookie, ia perlu diperiksa apabila menerima.

• Gunakan fungsi terbina dalam PHP seperti filter_var() untuk mengesahkan format biasa seperti peti mel dan URL.
• Hadkan panjang kandungan rentetan untuk mengelakkan limpahan penampan atau risiko suntikan yang disebabkan oleh input yang tidak normal.
• Whitelist menapis input HTML: Jika pengguna dibenarkan menyerahkan kandungan HTML, mereka harus menggunakan perpustakaan pembersihan HTML (seperti pembersih HTML) dan bukan hanya menggantikan kata kunci.

Sebagai contoh, mengesahkan alamat e -mel boleh ditulis seperti ini:

 jika (filter_var ($ e -mel, filter_validate_email)) {
    // Alamat e -mel sah}

2. Melarikan diri mengikut konteks apabila output

Serangan XSS biasanya berlaku apabila memasukkan data yang tidak diproses ke halaman HTML. Oleh itu, sebelum mengeluarkan pembolehubah, pelarian yang sesuai mesti dilakukan berdasarkan konteks HTML semasa (teks HTML, sifat, JavaScript, dll.).

• Kandungan HTML menggunakan htmlspecialchars() :

   echo htmlspecialchars ($ user_input, ent_quotes, 'utf-8');

• Pemprosesan yang lebih ketat diperlukan dalam konteks JavaScript atau CSS, anda boleh mempertimbangkan pengekodan dengan JSON dan membenamkan:

   echo &#39;<cript> var userInput =&#39;. json_encode ($ user_input). &#39;; </script>&#39;;

• Jangan bersuara penyataan SQL atau kod JS, tetapi logik dan data berasingan melalui antara muka.

3. Dayakan Dasar Keselamatan Kandungan (CSP)

Dasar Keselamatan Kandungan adalah mekanisme header respons HTTP yang menghalang pelayar daripada melaksanakan skrip haram. Walaupun terdapat kelemahan XSS, ia dapat mengurangkan bahaya.

• Tetapkan header header Content-Security-Policy , menyatakan bahawa hanya skrip dari sumber tertentu dibenarkan dimuatkan.
• Ia boleh dikonfigurasikan melalui middleware atau rangka kerja, seperti dalam PHP, anda boleh menambahnya secara langsung:

   header ("Kandungan-Security-Policy: Script-Src 'Self'; Object-Src 'None'");

• Semasa peringkat pembangunan, adalah disyorkan untuk menggunakan model Content-Security-Policy-Report-Only untuk mengumpul laporan dan secara beransur-ansur menyesuaikan strategi.

4. Gunakan ciri keselamatan yang disediakan oleh rangka kerja

Rangka kerja PHP moden (seperti Laravel dan Symfony) semuanya mempunyai mekanisme perlindungan XSS terbina dalam, seperti enjin template melarikan diri automatik.

• Templat pisau Laravel akan melarikan diri dari pembolehubah secara lalai:

   {{$ userInput}} <!-Automatik melarikan diri->
  {!! $ userInput !!} <!-Jika tidak melarikan diri, gunakan dengan berhati-hati->

• Jika anda menggunakan PHP asli sebagai enjin templat, anda boleh menambah:

   <? php ini_set (&#39;default_mimetype&#39;, &#39;&#39;); ?>

• Pastikan semua output dilakukan melalui mekanisme keselamatan ini dan jangan memintas reka bentuk keselamatan kerangka.

Pada dasarnya kaedah ini. Perlindungan XSS bukanlah satu-satunya perkara, tetapi selagi anda mengawalnya di tiga tahap input, output dan strategi, anda dapat mengurangkan risiko diserang.

Atas ialah kandungan terperinci Bagaimanakah kelemahan skrip lintas tapak (XSS) dapat dikurangkan dalam aplikasi PHP?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!