XSS安全漏洞攻击

XSS  跨网站脚本（Cross-site scripting，通常简称为XSS或跨站脚本或跨站脚本攻击）是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。

通常有一些方式可以测试网站是否有正确处理特殊字符：

• ><script>alert(document.cookie)</script>
• ='><script>alert(document.cookie)</script>
• "><script>alert(document.cookie)</script>
• <script>alert(document.cookie)</script>
• <script>alert(vulnerable)</script>
• %3Cscript%3Ealert('XSS')%3C/script%3E
• <script>alert('XSS')</script>
• <img src="javascript:alert('XSS')">
• <img src="http://xxx.com/yyy.png" onerror="alert('XSS')">
• <div style="height:expression(alert('XSS'),1)" />（这个仅限 IE 有效）

我这里采用htmlspecialchars或htmlentities去转传入参数。这些函数主要用于清除HTML标志，这样就没办法注入代码了。使用更多的函数是htmlspecialchars() ，它可以将所有的"<"与">"符号转换成"&lt;" 与"&gt；"。其它可供选择的函数还有htmlentities(), 它可以用相应的字符实体（entities）替换掉所有想要替换掉的特征码（characters）。

德问上这几个回答挺有用处：

1. 如何有效防止XSS攻击/AJAX跨域攻击

2. XSS漏洞通用解决方案