Using htmlentities($var, ENT_QUOTES

Using htmlentities($var, ENT_QUOTES, 'UTF-8') is a good practice, but it doesn't solve the problem entirely. If you try that with this example, you'll notice the XSS doesn't work, but that's only because this particular example uses quotes. There are XSS attacks that do not rely on quotes, and those will still work. View source to see what I mean, or try the example using htmlentities($var, ENT_COMPAT, 'UTF-8'), and you'll see that it still works.

Αποτελέσματα (Ελληνικά) 1:

Χρησιμοποιώντας το htmlentities ($var, ENT_QUOTES, "UTF-8») είναι μια καλή πρακτική, αλλά δεν λύνει το πρόβλημα εξ ολοκλήρου. Εάν you προσπαθώ αυτό με αυτό το παράδειγμα, θα παρατηρήσετε την XSS δεν λειτουργεί, αλλά αυτό είναι μόνο επειδή αυτό το συγκεκριμένο παράδειγμα χρησιμοποιεί αποσπάσματα. Οι επιθέσεις XSS που δεν βασίζονται σε εισαγωγικά, και εκείνοι θα συνεχίσει να λειτουργεί. Προβολή πηγαίου κώδικα για να δείτε τι εννοώ, ή δοκιμάστε το παράδειγμα χρησιμοποιώντας το htmlentities ($var, η ENT_COMPAT, «UTF-8'), και θα δείτε ότι εξακολουθεί να λειτουργεί.

Αποτελέσματα (Ελληνικά) 2:

Χρησιμοποιώντας htmlentities ($ var, ENT_QUOTES, «UTF-8») είναι μια καλή πρακτική, αλλά αυτό δεν λύνει το πρόβλημα εντελώς. Αν προσπαθήσετε ότι με αυτό το παράδειγμα, θα παρατηρήσετε ότι το XSS δεν λειτουργεί, αλλά αυτό είναι μόνο και μόνο επειδή αυτό το συγκεκριμένο παράδειγμα χρησιμοποιεί εισαγωγικά. Υπάρχουν XSS επιθέσεις που δεν βασίζονται σε εισαγωγικά, και εκείνοι θα εξακολουθούν να εργάζονται. Προβολή πηγής για να δείτε τι εννοώ, ή να δοκιμάσετε το παράδειγμα χρησιμοποιώντας htmlentities ($ var, ENT_COMPAT, «UTF-8»), και θα δείτε ότι εξακολουθεί να λειτουργεί.