सुरक्षा भेद्यता: Cross-Site Scripting in PHP

Learn how to fix Cross-Site Scripting (XSS) (CWE-79) in PHP. Side-by-side vulnerable vs secure code examples for htmlspecialchars(), Blade templates, and Twig escaping.

💡 आसान भाषा में (ELI5)

कल्पना करें कि कोई सार्वजनिक नोटिस बोर्ड पर एक पर्ची चिपका देता है: 'जो कोई भी इसे पढ़े, वह अपना बटुआ पास खड़े व्यक्ति को दे दे'। यदि लोग बोर्ड पर चिपकी पर्ची के आदेश का आँख मूंदकर पालन करने लगें, तो कोई भी व्यक्ति सभी के पैसे चुरा सकता है।

इस पेज के मुख्य शब्द

Web Application Security: सुरक्षा अवधारणा (Web Application Security): Core architecture component affected by CWE-79.
CWE-79: सुरक्षा अवधारणा (CWE-79): Standard Common Weakness Enumeration classification for xss-php.
Defense-in-Depth: सुरक्षा अवधारणा (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

हमले का चरण-दर-चरण प्रवाह

Step 1

दुर्भावनापूर्ण स्क्रिप्ट पेलोड इंजेक्शन

हमलावर फॉर्म फ़ील्ड या URL में HTML टैग या जावास्क्रिप्ट कोड (उदा. <script> या <img onerror=...>) डालता है।

Step 2

बिना एस्केप किए HTML में रेंडरिंग

वेब एप्लिकेशन बिना उचित एन्कोडिंग के इनपुट को सीधे HTML पेज पर दिखाता है या डेटाबेस में सेव करता है।

Step 3

ब्राउज़र DOM निष्पादन

जब कोई पीड़ित पेज खोलता है, तो उसका ब्राउज़र इंजेक्ट किए गए कोड को निष्पादन योग्य स्क्रिप्ट के रूप में चलाता है।

Step 4

सत्र अपहरण और क्रेडेंशियल चोरी

स्क्रिप्ट पीड़ित के सत्र में चलती है और प्रमाणीकरण कुकीज़ या सुरक्षा टोकन चुरा लेती है।

सोर्स कोड: कमज़ोर बनाम सुरक्षित कार्यान्वयन

✕ कमज़ोर कार्यान्वयन

// $_GET value echoed with no encoding
echo "<div>Welcome, "
   . $_GET['name'] . "</div>";

✓ सुरक्षित और सुदृढ़ फ़िक्स

// value HTML-encoded before output
echo "<div>Welcome, " . htmlspecialchars(
  $_GET['name'], ENT_QUOTES, 'UTF-8'
) . "</div>";

इंजीनियरिंग और सिस्टम सुरक्षा चेकलिस्ट

✓अनुशंसित सुरक्षा नियम: Wrap every value that reaches HTML output in htmlspecialchars($val, ENT_QUOTES, 'UTF-8')।
✓अनुशंसित सुरक्षा नियम: Prefer a templating engine that auto-escapes (Twig) over raw PHP templates।
✓हमेशा context-specific encoding for JS/URL contexts, not just HTML का उपयोग करें।
✓a taint-analysis static check in CI to catch regressions automatically चलाएं।