PHP htmlentities ()на входе и на выходе [дубликат]

На этот вопрос уже есть ответы здесь:

Закрыто 7 лет назад .

Possible Duplicate:
PHP htmlentities() on input before DB insert, instead of on output

Для PHP-приложения, которое просто пытается защитить себя от подобных XSS, на каком этапе должна вызываться функция htmlentities()? Должен ли он вызываться при первоначальном вводе данных пользователем или при отображении каждой страницы, где выводятся эти данные?

Если я использую htmlentities()для пользовательского ввода, в итоге я храню в базе данных немного больше данных. Однако в долгосрочной перспективе я экономлю циклы ЦП, потому что мне нужно выполнять преобразование только при вводе и никогда больше при последующем выводе этих данных.

Я должен отметить, что я не вижу ни одного обозримого случая, когда когда-либо придется хранить входные данные HTML в моем приложении, поэтому использование htmlentities()предназначено исключительно для защиты от XSS. В маловероятном случае, если мне когда-либо понадобится необработанный HTML, я могу просто вызвать html_entity_decode()для обратного htmlentities(). Кроме того,это спасает меня от того, что я забыл вызвать htmlentities()при рендеринге страницы и случайно вставил эксплойт XSS в свое приложение.

Я обдумывал идею использования расширения Facebook XHP, но синтаксический анализ XML вызывает довольно много накладных расходов, больше, чем мне удобно для моего приложения.

Резюме:Должен ли я использовать htmlentities()на входе или на выходе? Каков общепринятый подход к этой ситуации?

задан Community 23 May 2017 в 11:59

0 ответов

Другие вопросы по тегам:

html html-entities php sanitization xss

PHP htmlentities ()на входе и на выходе [дубликат]

0 ответов

Похожие вопросы: