漏洞深度剖析：Cross-Site Scripting in PHP

Learn how to fix Cross-Site Scripting (XSS) (CWE-79) in PHP. Side-by-side vulnerable vs secure code examples for htmlspecialchars(), Blade templates, and Twig escaping.

💡 通俗易懂的原理解析 (ELI5)

想象一下，有人在社区公告栏上贴了一张便签：'凡阅读此便签者，请立刻将钱包交给身旁的人'。如果路过的居民盲目执行公告栏上的每一条纸条指令，任何张贴便签的人都能瞬间偷走所有人的财物。

核心概念与专有名词

Web Application Security: 技术概念 (Web Application Security)：Core architecture component affected by CWE-79.
CWE-79: 技术概念 (CWE-79)：Standard Common Weakness Enumeration classification for xss-php.
Defense-in-Depth: 技术概念 (Defense-in-Depth)：Multi-layered engineering verification and runtime boundary isolation.

攻击执行流程分解

Step 1

注入恶意脚本载荷

攻击者在表单输入框、URL 查询参数中输入恶意 HTML 标签或 JavaScript 代码（如 <script> 或 <img onerror=...>）。

Step 2

未转义直接渲染或持久化存储

应用程序将原始输入未经上下文 HTML 实体编码即直接拼接入页面或写入数据库。

Step 3

受害者浏览器 DOM 解析与执行

当受害者访问该页面时，浏览器将未转义的字符解析为合法的可执行脚本而非普通文本。

Step 4

会话劫持与同源特权滥用

恶意脚本在受害者会话上下文中执行，窃取 document.cookie、读取 LocalStorage 凭据或冒名发起操作。

源代码对比：漏洞与安全实现

✕ 存在漏洞的实现

// $_GET value echoed with no encoding
echo "<div>Welcome, "
   . $_GET['name'] . "</div>";

✓ 加固后的安全修复

// value HTML-encoded before output
echo "<div>Welcome, " . htmlspecialchars(
  $_GET['name'], ENT_QUOTES, 'UTF-8'
) . "</div>";

工程与系统安全加固清单

✓工程安全防范准则：Wrap every value that reaches HTML output in htmlspecialchars($val, ENT_QUOTES, 'UTF-8')。
✓工程安全防范准则：Prefer a templating engine that auto-escapes (Twig) over raw PHP templates。
✓始终使用 context-specific encoding for JS/URL contexts, not just HTML。
✓运行 a taint-analysis static check in CI to catch regressions automatically。