Как избежать “Нападений Сценария перекрестного Сайта”

Я уверен, что это можно сделать fx. в PHP путем проверки форм

Не совсем. Стадия ввода - совершенно неподходящее место для решения проблем XSS.

Если пользователь вводит, скажем, во входные данные, в этом нет ничего плохого. Я только что сделал это в этом сообщении, и если бы StackOverflow не разрешил это, нам было бы очень трудно говорить о JavaScript на сайте! В большинстве случаев вы хотите разрешить любой ввод (*), чтобы пользователи могли использовать символ < для буквального обозначения знака «меньше».

Дело в том, что когда вы пишете какой-то текст на HTML-странице, вы должны правильно экранировать его для контекста, в который он входит. Для PHP это означает использование htmlspecialchars () на выходном каскаде :

<p> Hello, <?php echo htmlspecialchars($name); ?>! </p>

[PHP-подсказка: вы можете определить себе функцию с более коротким именем для выполнения echo htmlspecialchars , поскольку это довольно много ввода, чтобы делать каждый раз, когда вы хотите поместить переменную в некоторый HTML. ]

Это необходимо независимо от того, откуда берется текст, будь то форма, отправленная пользователем или нет. Хотя отправленные пользователем данные - самое опасное место, где можно забыть о кодировке HTML, на самом деле дело в том, что вы берете строку в одном формате (простой текст) и вставляете ее в контекст в другом формате (HTML).Каждый раз, когда вы переносите текст в другой контекст, вам понадобится схема кодирования / экранирования, соответствующая этому контексту.

Например, если вы вставляете текст в строковый литерал JavaScript, вам придется экранировать символ кавычки, обратную косую черту и символы новой строки. Если вы вставляете текст в компонент запроса в URL-адресе, вам нужно будет преобразовать большинство не буквенно-цифровых символов в последовательности % xx . В каждом контексте есть свои правила; вы должны знать, какая функция является правильной для каждого контекста в выбранном вами языке / фреймворке. Вы не можете решить эти проблемы, искажая отправку форм на этапе ввода - хотя многие наивные программисты PHP пытаются, поэтому так много приложений портят ваш ввод в крайних случаях и по-прежнему небезопасны.

(*: ну, почти любой. Есть разумный аргумент в пользу фильтрации управляющих символов ASCII из отправленного текста. Очень маловероятно, что их разрешение принесет пользу. Плюс, конечно, у вас будут проверки для конкретного приложения, которые вы захотите сделать, например, убедиться, что поле электронной почты выглядит как адрес электронной почты или что числа действительно являются числовыми. Но это не то, что можно применить ко всем входным данным, чтобы избежать неприятностей.)