Безопасная функция очистки XSS (регулярно обновляется)

Я уже несколько дней охочусь за сетью, пытаясь понять это, но получаю противоречивые ответы.

Есть ли библиотека, класс или функция для PHP, которая надежно защищает / кодирует строку против XSS? Он должен регулярно обновляться, чтобы противостоять новым атакам.

• Объединение подготовленного оператора в функцию
• Концепция использования библиотеки очистителя html
• Действительные адреса электронной почты - XSS и SQL Injection
• Лучший способ защитить от инъекций mysql и межсайтового скриптинга
• Всесторонняя защита от входа пользователя - PHP, MySQL

У меня есть несколько вариантов использования:

Случай использования 1) У меня есть текстовое поле, например, для имени или фамилии

• Пользователь вводит текст в поле и представляет форму
• Перед тем, как это будет сохранено в базе данных, я хочу: а) обрезать любые пробелы перед фронтом и концом строки и b) отделить все теги HTML от ввода. Это текстовое поле с именем, в нем не должно быть никакого HTML-кода.
• Затем я сохраню это в базе данных с подготовленными инструкциями PDO.

Я думаю, что могу просто сделать trim() и strip_tags() затем использовать фильтр Sanitize или RegEx со списком символов. Им действительно нужны персонажи! а также ? или < > в их имени, на самом деле.

Случай использования 2) При выводе содержимого из ранее сохраненной записи базы данных (или из ранее представленной формы) в представление / HTML я хочу полностью очистить ее для XSS. NB: Возможно, он прошел или не прошел этап фильтрации в прецеденте 1, поскольку он может быть другим типом ввода, поэтому не предполагайте, что никакая дезинфекция не была выполнена.

Первоначально я, хотя HTMLPurifier выполнял эту работу, но, как мне кажется, это не то, что мне нужно, когда я задавал вопрос своей поддержке :

Вот тест лакмусовой бумажки: если пользователь отправляет <b>foo</b> если он отображается как <b>foo</b> или foo ? Если первый, вам не нужен очиститель HTML.

Поэтому я предпочел бы, чтобы он отображался как <b>foo</b> потому что я не хочу, чтобы какой-либо HTML отображался для простого текстового поля или любого исполняемого кода JavaScript.

Поэтому я охотился за функцией, которая сделает все это для меня. Я наткнулся на метод xss_clean, используемый Kohana 3.0, который, как я предполагаю, работает, но это только если вы хотите сохранить HTML. Теперь он устарел от Kohana 3.1, поскольку они заменили его на HTMLPurifier. Поэтому я предполагаю, что вы должны делать HTML::chars() вместо этого, который только делает этот код :

 public static function chars($value, $double_encode = TRUE) { return htmlspecialchars( (string) $value, ENT_QUOTES, Kohana::$charset, $double_encode); } 

Теперь, очевидно, вы должны использовать htmlentities вместо этого, как упоминалось в довольно многих местах в Stack Overflow, потому что он более безопасен, чем htmlspecialchars.

• Итак, как правильно использовать htmlentities?
• Это все, что мне нужно?
• Как он защищает от кодирования шестнадцатеричных, десятичных и base64 значений, отправленных из перечисленных здесь атак?

Теперь я вижу, что третий параметр для метода htmlentities – это кодировка, которая будет использоваться при преобразовании. Теперь мой сайт / db находится в UTF-8, но, возможно, данные, представленные в форме, не были закодированы в кодировке UTF-8, возможно, они отправили ASCII или HEX, поэтому, возможно, мне нужно сначала преобразовать ее в UTF-8? Это означало бы какой-то код вроде:

 $encoding = mb_detect_encoding($input); $input = mb_convert_encoding($input, 'UTF-8', $encoding); $input = htmlentities($input, ENT_QUOTES, 'UTF-8'); 

Да или нет? Тогда я все еще не уверен, как защитить от шестнадцатеричных, десятичных и base64 возможных входов XSS …

Если есть какая-то библиотека или PHP с открытым исходным кодом, которая может правильно защитить XSS, мне было бы интересно увидеть, как они это делают в коде.

Любая помощь очень ценится, извините за длинный пост!

 // Don't forget to specify UTF-8 as the document's encoding function htmlEncode($s) { return htmlspecialchars($s, ENT_QUOTES, 'UTF-8'); }