PHP 安全测试为 GetHTMLValueString 提供了严重的 Reflected XSS 警告，我该如何解决？

Posted 2023-02-23

【中文标题】PHP 安全测试为 GetHTMLValueString 提供了严重的 Reflected XSS 警告，我该如何解决？

【英文标题】：PHP Security test gives me critical Reflected XSS warning for GetHTMLValueString, how can i fix?

【发布时间】：2021-12-24 18:13:58

【问题描述】：

【参考方案1】：

尝试将值转换为html Entities

<?php $depo_gin = '<a>1</a>'; ?>
<td>...</td><td><?php echo htmlentities( GetHTMLValueString($depo_gin) ); ?></td>

或

<?php $depo_gin = '<a>1</a>'; ?>
<td>...</td><td><?php echo htmlspecialchars( GetHTMLValueString($depo_gin) ); ?></td>

结果为 HTML：

<td>...</td><td>&lt;a&gt;1&lt;/a&gt;</td>

文档：

https://www.php.net/manual/en/function.htmlentities.php

https://www.php.net/manual/en/function.htmlspecialchars.php

如果您只需要 html 内容中的值

尝试使用函数strip_tags

<?php 

var_dump(
  strip_tags('<a>1</a>')
); # result: 1

https://www.php.net/manual/en/function.strip-tags