编辑“︁PHP XSS防护”︁

= PHP XSS防护 =

'''XSS（跨站脚本攻击，Cross-Site Scripting）'''是一种常见的安全漏洞，攻击者通过在网页中注入恶意脚本，使其在用户浏览器中执行。PHP表单处理中，XSS防护是至关重要的安全措施。本文将详细介绍XSS的原理、防护方法及实际应用。

== 什么是XSS？ ==
XSS攻击允许攻击者将恶意脚本注入到其他用户浏览的网页中。这些脚本可以窃取用户的Cookie、会话令牌或其他敏感信息，甚至重定向用户到恶意网站。XSS主要分为以下三种类型：
* '''存储型XSS'''：恶意脚本永久存储在目标服务器上（如数据库）。
* '''反射型XSS'''：恶意脚本通过URL参数反射到网页中。
* '''DOM型XSS'''：通过修改DOM环境在客户端执行恶意代码。

== XSS防护方法 ==
在PHP中，可以通过以下几种方式防护XSS攻击：

=== 1. 转义输出 ===
使用<code>htmlspecialchars()</code>函数对输出到HTML的内容进行转义，将特殊字符转换为HTML实体。

<syntaxhighlight lang="php">
<?php
$user_input = "<script>alert('XSS Attack!');</script>";
$safe_output = htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');
echo $safe_output; // 输出: &lt;script&gt;alert(&#039;XSS Attack!&#039;);&lt;/script&gt;
?>
</syntaxhighlight>

'''参数说明：'''
* <code>ENT_QUOTES</code>：转义单引号和双引号。
* <code>'UTF-8'</code>：指定字符编码，防止编码绕过攻击。

=== 2. 使用Content Security Policy (CSP) ===
CSP是一种HTTP头，用于限制浏览器加载和执行脚本的来源，有效减少XSS攻击的风险。

<syntaxhighlight lang="php">
<?php
header("Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com");
?>
</syntaxhighlight>

'''说明：'''
* <code>default-src 'self'</code>：只允许加载同源资源。
* <code>script-src</code>：限制脚本加载来源。

=== 3. 输入验证 ===
对用户输入进行严格验证，确保其符合预期格式（如邮箱、电话号码等）。

<syntaxhighlight lang="php">
<?php
$email = $_POST['email'];
if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo "Valid email: " . htmlspecialchars($email);
} else {
    echo "Invalid email!";
}
?>
</syntaxhighlight>

=== 4. 使用HTTP-only Cookie ===
设置Cookie为HTTP-only，防止JavaScript访问敏感Cookie。

<syntaxhighlight lang="php">
<?php
setcookie('session_id', '12345', time() + 3600, '/', '', true, true); // 最后一个参数为HttpOnly
?>
</syntaxhighlight>

== 实际案例 ==
以下是一个存储型XSS攻击及防护的示例：

=== 攻击场景 ===
假设一个论坛允许用户提交评论，未对输入进行过滤：

<syntaxhighlight lang="php">
<?php
// 未防护的代码
$comment = $_POST['comment'];
// 直接存储到数据库
$db->query("INSERT INTO comments (text) VALUES ('$comment')");
// 直接输出到页面
echo $comment;
?>
</syntaxhighlight>

攻击者提交：
<syntaxhighlight lang="html">
<script>alert('XSS Attack!');</script>
</syntaxhighlight>

=== 防护后的代码 ===
<syntaxhighlight lang="php">
<?php
// 防护后的代码
$comment = htmlspecialchars($_POST['comment'], ENT_QUOTES, 'UTF-8');
$db->query("INSERT INTO comments (text) VALUES ('$comment')");
echo $comment; // 输出转义后的内容
?>
</syntaxhighlight>

== 进阶防护技术 ==
对于高级用户，可以结合以下技术增强防护：
* 使用'''DOM Purifier'''库过滤HTML输入。
* 使用'''CSP Nonce'''动态生成脚本白名单。
* 定期更新PHP版本以修复安全漏洞。

== 总结 ==
XSS防护是PHP开发中不可忽视的安全措施。通过转义输出、输入验证、CSP和HTTP-only Cookie等方法，可以有效减少XSS攻击的风险。开发者应始终遵循“不信任用户输入”的原则，确保应用程序的安全性。

== 参见 ==
* [[PHP安全编程]]
* [[OWASP XSS防护指南]]

[[Category:编程语言]]
[[Category:PHP]]
[[Category:PHP表单处理]]