编辑“︁PHP XSS防护”︁

= PHP XSS防护 =

'''跨站脚本攻击（Cross-Site Scripting, XSS）'''是PHP安全编程中最常见的漏洞之一。攻击者通过注入恶意脚本到网页中，当其他用户浏览该页面时，脚本会在用户浏览器中执行，可能导致会话劫持、数据窃取等严重后果。本文将详细介绍XSS的原理、类型及防护措施。

== XSS类型 ==
XSS攻击主要分为三类：

=== 1. 反射型XSS ===
攻击者构造包含恶意脚本的URL，诱骗用户点击。服务器将恶意脚本“反射”回用户浏览器执行。

=== 2. 存储型XSS ===
恶意脚本被永久存储在服务器（如数据库），当其他用户访问包含该脚本的页面时触发。

=== 3. DOM型XSS ===
完全在客户端发生的攻击，恶意脚本通过修改DOM环境执行。

<mermaid>
graph LR
    A[XSS类型] --> B[反射型]
    A --> C[存储型]
    A --> D[DOM型]
</mermaid>

== 防护措施 ==

=== 1. 输出编码 ===
对所有动态输出到HTML的内容进行编码处理：

<syntaxhighlight lang="php">
// 使用htmlspecialchars对输出进行编码
$user_input = "<script>alert('XSS')</script>";
echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');
</syntaxhighlight>

'''输出：'''
<pre>&lt;script&gt;alert(&#039;XSS&#039;)&lt;/script&gt;</pre>

=== 2. 内容安全策略（CSP） ===
通过HTTP头限制可执行脚本的来源：

<syntaxhighlight lang="php">
header("Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com");
</syntaxhighlight>

=== 3. 输入验证 ===
使用过滤器验证输入数据：

<syntaxhighlight lang="php">
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
if ($email === false) {
    die('无效的邮箱地址');
}
</syntaxhighlight>

=== 4. HTTP-only Cookie ===
防止JavaScript访问敏感Cookie：

<syntaxhighlight lang="php">
session_set_cookie_params([
    'httponly' => true,
    'secure' => true,
    'samesite' => 'Strict'
]);
session_start();
</syntaxhighlight>

== 实际案例 ==

=== 案例1：评论系统XSS防护 ===
未防护的代码：

<syntaxhighlight lang="php">
// 危险：直接输出用户输入
echo $_POST['comment'];
</syntaxhighlight>

安全版本：

<syntaxhighlight lang="php">
// 安全：输出编码+过滤
$clean_comment = htmlspecialchars(strip_tags($_POST['comment']), ENT_QUOTES, 'UTF-8');
echo $clean_comment;
</syntaxhighlight>

=== 案例2：富文本编辑器处理 ===
使用HTML净化库：

<syntaxhighlight lang="php">
require_once 'HTMLPurifier.auto.php';
$config = HTMLPurifier_Config::createDefault();
$purifier = new HTMLPurifier($config);
$clean_html = $purifier->purify($_POST['html_content']);
</syntaxhighlight>

== 数学原理 ==
XSS防护的核心是确保用户输入''I''经过处理函数''f(x)''后，输出''O''满足：

<math>O = f(I) \text{ 其中 } \forall I, O \notin \{ \text{可执行脚本} \}</math>

== 最佳实践总结 ==
* 始终对输出进行编码（htmlspecialchars）
* 实施严格的CSP策略
* 对所有输入进行验证和过滤
* 使用现代PHP框架的内置安全功能
* 定期进行安全审计和渗透测试

通过以上措施，可以显著降低PHP应用中的XSS风险。记住：'''永远不要信任用户输入'''是Web安全的第一原则。

[[Category:编程语言]]
[[Category:PHP]]
[[Category:PHP安全编程]]