XSS攻击和防范

XSS又叫CSS(Cross Site Script),跨站脚本攻击。

它指的是恶意攻击者往web页面里插入恶意html代码，当用户浏览该页面时，

嵌入其中web里面的html代码会被执行，进而达到攻击的目的

PHP防范：

1，PHP直接输出html的，可以采用以下方法过滤：

• htmlspecialchars函数，该函数会将预定义的字符"<"和">"和"&"转换成HTML实体，实体不会被浏览器识别为html代码
• 使用自定义函数过滤预定义字符，百度RemoveXss函数
• 适用HTMLPurifier.auto.php插件

2，php输出到js代码中的，则需要在前端js中进行过滤：

• 使用jQuery的text来输出文本内容
• 必须要使用innerHTML等函数，则需要用js实现php的htmlspecialchars的过滤

其他方法：

1.在输出html时，加上Content Security Policy的Http Header

（作用：可以防止页面被XSS攻击时，嵌入第三方的脚本文件等）
（缺陷：IE或低版本的浏览器可能不支持）

2.在设置Cookie时，加上HttpOnly参数

（作用：可以防止页面被XSS攻击时，Cookie信息被盗取，可兼容至IE6）
（缺陷：网站本身的JS代码也无法操作Cookie，而且作用有限，只能保证Cookie的安全）

3.在开发API时，检验请求的Referer参数

（作用：可以在一定程度上防止CSRF攻击）
（缺陷：IE或低版本的浏览器中，Referer参数可以被伪造）

PHPxss过滤函数

function clean_xss(&$string, $low = False)
	{
		if (! is_array ( $string ))
		{
			$string = trim ( $string );
			$string = strip_tags ( $string );
			$string = htmlspecialchars ( $string );
			if ($low)
			{
				return True;
			}
			$string = str_replace ( array ('"', "\\", "'", "/", "..", "../", "./", "//" ), '', $string );
			$no = '/%0[0-8bcef]/';
			$string = preg_replace ( $no, '', $string );
			$no = '/%1[0-9a-f]/';
			$string = preg_replace ( $no, '', $string );
			$no = '/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]+/S';
			$string = preg_replace ( $no, '', $string );
			return True;
		}
		$keys = array_keys ( $string );
		foreach ( $keys as $key )
		{
			clean_xss ( $string [$key] );
		}
	}