letwego

摘要： XSS防御的总体思路是: 对输入进行过滤，特殊符号必须过滤掉，单引号、双引号、尖括号之类的， 对输出进行编码过滤: 根据业务需求进行过滤， 比如输出点要求输入手机号，则只允许输入手机号格式的数字。 转义: 所有输出到前端的数据都根据输出点进行转义， 比如输出到html中进行html实体转义，输入到S 阅读全文

摘要： html实体编码 JS编码 1.htmlspecialchars函数 把一些预定义的字符转换为html实体 预定义的字符 &->&amp; "->&quot; '->&#039; <->&lt; >->gt; <script> --> <&ltscript&gt 默认绕过 绕过方式： payload 阅读全文