YII XSS(跨站脚本攻击)

最新推荐文章于 2021-04-13 13:37:12 发布

转载最新推荐文章于 2021-04-13 13:37:12 发布 · 254 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/isuben/p/5533750.html

\Yii::$app->response->headers->add('X-XSS-Protection','0');//表示关闭YII的跨站脚本过滤
//http://www.frontend.com/test/post?name=<script>alert("hello world!")</script> 反射型注入攻击

echo \Yii::$app->request->get("name");
//页面会弹出一个alert

　在比较特殊的情况下YII的防止跨站攻击也会失效

// http://www.frontend.com/test/post?key=%26quot;;alert(3);

return $this->render("demo");

demo的内容如下，也会弹出alert()

<img src='x.jpg' onerror='var a="123<?=$_GET["key"];?>";'/>

　　YII针对XSS输入

//http:///www.frontend.com/test/post?script=<script>alert(3)</script>
$script = \Yii::$app->request->get("script");
//echo \Yii\helpers\Html::encode($script);//直接转义
echo \Yii\helpers\HtmlPurifier::process($script);//过滤

转载于:https://www.cnblogs.com/isuben/p/5533750.html