PHP Lang
  1. PHP Lang
  3. Должен ли я использовать ENT_QUOTES с htmlspecialchars или нет?
Intereting Posts
Получить список общих дисков с помощью PHP в Windows? Doctrine2 findBy объект отношения вызывает ошибку преобразования строки Поиск совпадения парциального значения в массиве PHP удаляет повторяющиеся записи фида XML Как печенье влияет на кеширование лаков? Правильное экранирование полей и параметров запроса при использовании PDO Проблема переменных переменных php Как отправить электронную почту с помощью PHPMailer в фоновом режиме? Используйте фигурные скобки для структурирования кода в PHP Получение видео с S3 и загрузка на YouTube в PHP startsWith () и endsWith () функции в PHP phpunit mock – метод не существует Как отлаживать приложение PHP с помощью Eclipse PDT (отладчик xdebug и zend) ejabberdctl не работает с PHP PHP На одном уровне глубже в каждом цикле

Должен ли я использовать ENT_QUOTES с htmlspecialchars или нет?

Я использую php 5.4.4, работающий как UTF-8, и я не уверен, что я правильно использую htmlspecialchars.

Мои строки / vars выглядят так: 

$text = "<p><span class='clx'>By:</span> ".htmlspecialchars($foo)."</span></p>"; echo $text;

Нужно ли мне использовать ENT_QUOTES или это необходимо только тогда, когда мне нужно что-то повторить

внутри, например: href="$foo" or id='$foo' ?

Atm, om только с использованием htmlspecialchars внутри закрытых тегов html, а не атрибутов.

Просто конкатенируйте var внутри строки в <p> теге </p>

благодаря

Новый способ предотвращения атак XSSSQL-предупреждение XSSЯвляется ли предотвращение XSS и SQL Injection так же просто, как это делаетPHP Проверять кодированные изображения base64Является ли пользовательский ввод HTML с Javascript, который отображается другим, но не с HTML-экранированным примером XSS

Обычно вы должны использовать его, беря данные из базы данных и вставляя их в элементы html. Это делается для того, чтобы цитаты из данных не закрывали котировки значений и не испортили html.

Короткий ответ: Всегда.

Длинный ответ: я настоятельно рекомендую читать OWASP в PHP Top 5 и PHP Cheat Sheet

Top 5 OWASP охватывает пять наиболее серьезных и распространенных уязвимостей безопасности, с которыми сталкивается PHP сегодня:

  • Удаленное выполнение кода
  • Межсайтовый скриптинг (XSS) [Один htmlspecialchars пытается предотвратить]
  • SQL-инъекция
  • Конфигурация PHP
  • Атаки файловой системы

Он демонстрирует распространенные ошибки и решения, и стоит прочитать для любого PHP-разработчика, даже рассматривая возможность размещения живого веб-сайта.