整理php防注入和XSS攻击通用过滤
对网站发动XSS攻击的方式有很多种，仅仅使用php的一些内置过滤函数是对付不了的，即使你将filter_var,mysql_real_escape_string,htmlentities,htmlspecialchars,strip_tags这些函数都使用上了也不一定能保证绝对的安全。
那么如何预防XSS注入？主要还是需要在用户数据过滤方面得考虑周全，在这里不完全总结下几个Tips
1.假定所有的用户输入数据都是“邪恶”的
2.弱类型的脚本语言必须保证类型和期望的一致
3.考虑周全的正则表达式
4.strip_tags、htmlspecialchars这类函数很好用
5.外部的Javascript不一定就是可靠的
6.引号过滤必须要重点注意
7.除去不必要的HTML注释
8.Exploer求你放过我吧……
方法一，利用phphtmlentities函数
例子
php防止XSS跨站脚本攻击的方法:是针对非法的HTML代码包括单双引号等，使用htmlspecialchars()函数。
在使用htmlspecialchars()函数的时候注意第二个参数,直接用htmlspecialchars($string)的话,第二个参数默认是ENT_COMPAT,函数默认只是转化双引号(“),不对单引号(‘)做转义.
所以,htmlspecialchars函数更多的时候要加上第二个参数,应该这样用:htmlspecialchars($string,ENT_QUOTES).当然,如果需要不转化如何的引号,用htmlspecialchars($string,ENT_NOQUOTES).
另外,尽量少用htmlentities,在全部英文的时候htmlentities和htmlspecialchars没有区别,都可以达到目的.但是,中文情况下,htmlentities却会转化所有的html代码，连同里面的它无法识别的中文字符也给转化了。
htmlentities和htmlspecialchars这两个函数对 '之类的字符串支持不好,都不能转化,所以用htmlentities和htmlspecialchars转化的字符串只能防止XSS攻击,不能防止SQL注入攻击.
所有有打印的语句如echo，print等在打印前都要使用htmlentities()进行过滤，这样可以防止Xss，注意中文要写出htmlentities($name,ENT_NOQUOTES,GB2312)。
方法二，什么也不多说我们给一个函数
例子
functionxss_clean($data){
//Fix&entity＼n;
$data=str_replace(array('&','<','>'),array('&amp;','&lt;','&gt;'),$data);
$data=preg_replace('/(&#*＼w+)[＼x00-＼x20]+;/u','$1;',$data);
$data=preg_replace('/(&#x*[0-9A-F]+);*/iu','$1;',$data);
$data=html_entity_decode($data,ENT_COMPAT,'UTF-8');
//Removeanyattributestartingwith"on"orxmlns
$data=preg_replace('#(<[^>]+?[＼x00-＼x20"＼'])(?:on|xmlns)[^>]*+>#iu','$1>',$data);
//Removejavascript:andvbscript:protocols
$data=preg_replace('#([a-z]*)[＼x00-＼x20]*=[＼x00-＼x20]*([`＼'"]*)[＼x00-＼x20]*j[＼x00-＼x20]*a[＼x00-＼x20]*v[＼x00-＼x20]*a[＼x00-＼x20]*s[＼x00-＼x20]*c[＼x00-＼x20]*r[＼x00-＼x20]*i[＼x00-＼x20]*p[＼x00-＼x20]*t[＼x00-＼x20]*:#iu','$1=$2nojavascript...',$data);
$data=preg_replace('#([a-z]*)[＼x00-＼x20]*=([＼'"]*)[＼x00-＼x20]*v[＼x00-＼x20]*b[＼x00-＼x20]*s[＼x00-＼x20]*c[＼x00-＼x20]*r[＼x00-＼x20]*i[＼x00-＼x20]*p[＼x00-＼x20]*t[＼x00-＼x20]*:#iu','$1=$2novbscript...',$data);
$data=preg_replace('#([a-z]*)[＼x00-＼x20]*=([＼'"]*)[＼x00-＼x20]*-moz-binding[＼x00-＼x20]*:#u','$1=$2nomozbinding...',$data);
//OnlyworksinIE:<spanstyle="width:expression(alert('Ping!'));"></span>
$data=preg_replace('#(<[^>]+?)style[＼x00-＼x20]*=[＼x00-＼x20]*[`＼'"]*.*?expression[＼x00-＼x20]*＼([^>]*+>#i','$1>',$data);
$data=preg_replace('#(<[^>]+?)style[＼x00-＼x20]*=[＼x00-＼x20]*[`＼'"]*.*?behaviour[＼x00-＼x20]*＼([^>]*+>#i','$1>',$data);
$data=preg_replace('#(<[^>]+?)style[＼x00-＼x20]*=[＼x00-＼x20]*[`＼'"]*.*?s[＼x00-＼x20]*c[＼x00-＼x20]*r[＼x00-＼x20]*i[＼x00-＼x20]*p[＼x00-＼x20]*t[＼x00-＼x20]*:*[^>]*+>#iu','$1>',$data);
//Removenamespacedelements(wedonotneedthem)
$data=preg_replace('#</*＼w+:＼w[^>]*+>#i','',$data);
do{//Removereallyunwantedtags
$old_data=$data;
$data=preg_replace('#</*(?:applet|b(?:ase|gsound|link)|embed|frame(?:set)?|i(?:frame|layer)|l(?:ayer|ink)|meta|object|s(?:cript|tyle)|title|xml)[^>]*+>#i','',$data);
}while($old_data!==$data);
//wearedone...
return$data;
}
方法三：
<?php
//php防注入和XSS攻击通用过滤.
//byqq:831937
$_GET&&SafeFilter($_GET);
$_POST&&SafeFilter($_POST);
$_COOKIE&&SafeFilter($_COOKIE);
functionSafeFilter(&$arr)
{
$ra=Array('/([\x00-\x08,\x0b-\x0c,\x0e-\x19])/','/script/','/javascript/','/vbscript/','/expression/','/applet/','/meta/','/xml/','/blink/','/link/','/style/','/embed/','/object/','/frame/','/layer/','/title/','/bgsound/','/base/','/onload/','/onunload/','/onchange/','/onsubmit/','/onreset/','/onselect/','/onblur/','/onfocus/','/onabort/','/onkeydown/','/onkeypress/','/onkeyup/','/onclick/','/ondblclick/','/onmousedown/','/onmousemove/','/onmouseout/','/onmouseover/','/onmouseup/','/onunload/');
if(is_array($arr))
{
foreach($arras$key=>$value)
{
if(!is_array($value))
{
if(!get_magic_quotes_gpc())//不对magic_quotes_gpc转义过的字符使用addslashes(),避免双重转义。
{
$value=addslashes($value);//给单引号（'）、双引号（"）、反斜线（\）与NUL（NULL字符）加上反斜线转义
}
$value=preg_replace($ra,'',$value);//删除非打印字符，粗暴式过滤xss可疑字符串
$arr[$key]=htmlentities(strip_tags($value));//去除HTML和PHP标记并转换为HTML实体
}
else
{
SafeFilter($arr[$key]);
}
}
}
}
?>