反射型XSS 之 防范

对于反射型XSS，在地址栏里的参数，比如page，被传递到服务器端的脚本，比如（PHP），再输出到客户端。

形如：

<?php
	$p = $_GET["page"];
	echo $p;
?>

在防范这类XSS时，通常可以在服务器端对传入的参数进行过滤，来防范这类攻击。

形如以下伪代码：

<?php
	function filter($str){
		将$str里可能造成跨站的特殊字符过滤掉，例如,<, >等。
		return $str;
	}
	$p = $_GET["page"];
	echo filter($p);
?>