Web安全與防護 （微課版） 課件 項目四 安全的用戶輸入：任務(wù)一 博客系統(tǒng)相關(guān)功能實現(xiàn)、任務(wù)二 跨站腳本攻擊的原理、任務(wù)三四 跨站腳本漏洞修復(fù)與防范

項目四

安全的用戶輸入Web安全與防護本任務(wù)要點學習目標利用PHP實現(xiàn)文章發(fā)布相關(guān)與評論功能熟悉數(shù)據(jù)庫增刪查改的操作方法熟悉PHP數(shù)據(jù)庫交互的功能編寫方法

能夠?qū)崿F(xiàn)數(shù)據(jù)庫的增刪查改能夠使用PHP實現(xiàn)數(shù)據(jù)庫交互功能任務(wù)一

博客系統(tǒng)相關(guān)功能實現(xiàn)目錄CONTENTS01/文章發(fā)布相關(guān)功能02/評論功能實現(xiàn)文章發(fā)布相關(guān)功能012010年Twitter遭到了來自StalkDaily網(wǎng)站的蠕蟲病毒攻擊。一旦用戶訪問受感染用戶的個人資料頁面，也將會被感染病毒。有部分報道稱，蠕蟲病毒修改了個人資料頁的“關(guān)于我”的內(nèi)容并加入了包括了蠕蟲病毒的鏈接。受感染用戶會不停地發(fā)送垃圾Twitter消息，引導(dǎo)用戶訪問StalkDaily網(wǎng)站。文章發(fā)布相關(guān)功能01//

創(chuàng)建數(shù)據(jù)庫連接$host

=

'localhost';

//

數(shù)據(jù)庫主機地址$username

=

'root';

//

數(shù)據(jù)庫用戶名$password

=

'password';

//

數(shù)據(jù)庫密碼$dbname

=

'blog';

//

數(shù)據(jù)庫名稱

$connection

=

mysqli_connect($host,

$username,

$password,

$dbname);//

檢查連接是否成功if

(!$connection)

{

die("連接失敗:

"

.

mysqli_connect_error());12.

}使用MySQL或其他關(guān)系型數(shù)據(jù)庫。使用PHP操作數(shù)據(jù)庫需要一個數(shù)據(jù)庫連接。你可以使用PHP的mysqli擴展或PDO擴展來建立連接。以下是使用mysqli擴展建立連接的示例代碼：文章發(fā)布相關(guān)功能01CREATE

TABLE

articles

(

id

INT(11)

UNSIGNED

AUTO_INCREMENT

PRIMARY

KEY,

title

VARCHAR(255)

NOT

NULL,

content

TEXT

NOT

NULL,

author

VARCHAR(255)

NOT

NULL,

published_date

TIMESTAMP

DEFAULT

CURRENT_TIMESTAMP7.

);在數(shù)據(jù)庫中創(chuàng)建一個文章表來存儲文章的信息。該表應(yīng)該包括文章的標題、內(nèi)容、作者、發(fā)布日期等字段。以下是一個示例SQL命令，用于創(chuàng)建一個名為“articles”的表：文章發(fā)布相關(guān)功能01<form

action="submit-article.php"

method="POST">

<label

for="title">文章標題：</label>

<input

type="text"

id="title"

name="title"><br>

<label

for="content">文章內(nèi)容：</label>

<textarea

id="content"

name="content"></textarea><br>

<label

for="author">作者：</label>

<input

type="text"

id="author"

name="author"><br>

<input

type="submit"

value="發(fā)布文章"></form>創(chuàng)建一個網(wǎng)頁，允許用戶輸入文章的標題和內(nèi)容。將該信息發(fā)送到服務(wù)器并將其保存到數(shù)據(jù)庫中。以下是一個簡單的表單示例，用于輸入文章標題和內(nèi)容：文章發(fā)布相關(guān)功能01<?php//

連接數(shù)據(jù)庫$connection

=

mysqli_connect('localhost',

'username',

'password',

'database');//

檢查連接是否成功if

(!$connection)

{

die("連接失敗:

"

.

mysqli_connect_error());}//

處理用戶提交的表單數(shù)據(jù)$title

=

$_POST['title'];$content

=

$_POST['content'];$author

=

$_POST['author'];//

將文章信息插入到數(shù)據(jù)庫中$query

=

"INSERT

INTO

articles

(title,

content,

author,

published_date)

VALUES

('$title',

'$content',

'$author',

NOW())";if

(mysqli_query($connection,

$query))

{

//

插入成功

echo

"文章發(fā)布成功！";}

else

{

//

插入失敗

echo

"文章發(fā)布失敗："

.

mysqli_error($connection);}//

關(guān)閉數(shù)據(jù)庫連接mysqli_close($connection);?>

當用戶點擊"發(fā)布文章"按鈕時，該表單將提交到"submit-article.php"頁面。你需要編寫這個頁面來處理表單數(shù)據(jù)并將文章信息插入到數(shù)據(jù)庫中。以下是一個示例PHP代碼，用于將文章信息插入到數(shù)據(jù)庫中：文章發(fā)布相關(guān)功能01<?php//

連接數(shù)據(jù)庫$connection

=

mysqli_connect('localhost',

'username',

'password',

'database');//

檢查連接是否成功if

(!$connection)

{

die("連接失敗:

"

.

mysqli_connect_error());}//

從數(shù)據(jù)庫中檢索文章信息$query

=

"SELECT

*

FROM

articles";$result

=

mysqli_query($connection,

$query);//

在頁面上顯示文章列表while

($row

=

mysqli_fetch_assoc($result))

{

echo

"<h2>"

.

$row['title']

.

"</h2>";

echo

"<p>"

.

$row['content']

.

"</p>";

echo

"<p>作者："

.

$row['author']

.

"，發(fā)布時間："

.

$row['published_date']

.

"</p>";}//

關(guān)閉數(shù)據(jù)庫連接mysqli_close($connection);?>創(chuàng)建一個頁面來顯示所有已發(fā)布的文章?？梢詮臄?shù)據(jù)庫中檢索文章信息并在頁面上顯示出來。以下是一個簡單的PHP代碼，用于從數(shù)據(jù)庫中檢索文章信息并在頁面上顯示。文章發(fā)布相關(guān)功能01<?php//

連接數(shù)據(jù)庫$connection

=

mysqli_connect('localhost',

'username',

'password',

'database');

//

檢查連接是否成功if

(!$connection)

{die("連接失敗:

"

.

mysqli_connect_error());}

//

獲取要顯示的文章的

ID$article_id

=

$_GET['id'];

//

從數(shù)據(jù)庫中檢索單篇文章信息$query

=

"SELECT

*

FROM

articles

WHERE

id=$article_id";$result

=

mysqli_query($connection,

$query);

//

檢查是否檢索到了文章if

(mysqli_num_rows($result)

==

{echo

"文章不存在";}

else

{//

顯示單篇文章$row

=

mysqli_fetch_assoc($result);echo

"<h2>"

.

$row['title']

.

"</h2>";echo

"<p>"

.

$row['content']

.

"</p>";echo

"<p>作者："

.

$row['author']

.

"，發(fā)布時間："

.

$row['published_date']

.

"</p>";}

//

關(guān)閉數(shù)據(jù)庫連接mysqli_close($connection);?>當用戶單擊文章列表中的文章標題時，應(yīng)該顯示單獨的頁面來顯示該文章的詳細信息?？梢栽跀?shù)據(jù)庫中使用文章ID檢索文章信息，并將其顯示在單獨的頁面上。以下是一個簡單的PHP代碼，用于從數(shù)據(jù)庫中檢索單篇文章信息并在頁面上顯示出來。文章發(fā)布相關(guān)功能01<?php//

連接數(shù)據(jù)庫$connection

=

mysqli_connect('localhost',

'username',

'password',

'database');//

檢查連接是否成功if

(!$connection)

{

die("連接失敗:

"

.

mysqli_connect_error());}//

獲取要編輯的文章的

ID$article_id

=

$_GET['id'];//

處理用戶提交的表單數(shù)據(jù)if

($_SERVER['REQUEST_METHOD']

==

'POST')

{

$title

=

$_POST['title'];

$content

=

$_POST['content'];

//

將更新后的文章信息保存到數(shù)據(jù)庫中

$query

=

"UPDATE

articles

SET

title='$title',

content='$content'

WHERE

id=$article_id";

if

(mysqli_query($connection,

$query))

{

//

更新成功

echo

"文章更新成功！";

}

else

{

//

更新失敗

echo

"文章更新失?。?

.

mysqli_error($connection);

}}//

從數(shù)據(jù)庫中檢索要編輯的文章信息$query

=

"SELECT

*

FROM

articles

WHERE

id=$article_id";$result

=

mysqli_query($connection,

$query);//

檢查是否檢索到了文章if

(mysqli_num_rows($result)

==

{

echo

"文章不存在";}

else

{

//

顯示表單，允許作者編輯文章的標題和內(nèi)容

$row

=

mysqli_fetch_assoc($result);

echo

"<form

method='POST'>";

echo

"<label>文章標題：</label><br>";

echo

"<input

type='text'

name='title'

value='"

.

$row['title']

.

"'><br>";

echo

"<label>文章內(nèi)容：</label><br>";

echo

"<textarea

name='content'>"

.

$row['content']

.

"</textarea><br>";

echo

"<input

type='submit'

value='更新文章'>";

echo

"</form>";}//

關(guān)閉數(shù)據(jù)庫連接mysqli_close($connection);?>可以為已發(fā)布的文章提供編輯功能，允許作者修改文章的標題和內(nèi)容?？梢詣?chuàng)建一個包含表單的頁面，讓作者輸入新的標題和內(nèi)容，然后將其更新到數(shù)據(jù)庫中。以下是一個簡單的PHP代碼，用于從數(shù)據(jù)庫中檢索要編輯的文章信息，并將更新后的信息保存到數(shù)據(jù)庫中文章發(fā)布相關(guān)功能01<?php//

連接數(shù)據(jù)庫$connection

=

mysqli_connect('localhost',

'username',

'password',

'database');//

檢查連接是否成功if

(!$connection)

{

die("連接失敗:

"

.

mysqli_connect_error());}//

獲取要刪除的文章的

ID$article_id

=

$_GET['id'];//

處理用戶提交的表單數(shù)據(jù)if

($_SERVER['REQUEST_METHOD']

==

'POST')

{

//

從數(shù)據(jù)庫中刪除文章

$query

=

"DELETE

FROM

articles

WHERE

id=$article_id";

if

(mysqli_query($connection,

$query))

{

//

刪除成功

echo

"文章刪除成功！";

}

else

{

//

刪除失敗

echo

"文章刪除失?。?

.

mysqli_error($connection);

}}

else

{

//

顯示確認刪除的頁面

echo

"<form

method='POST'>";

echo

"<p>您確定要刪除這篇文章嗎？</p>";

echo

"<input

type='submit'

value='是的，我確定'>";

echo

"</form>";}//

關(guān)閉數(shù)據(jù)庫連接mysqli_close($connection);?>可以為已發(fā)布的文章提供刪除功能，允許作者從數(shù)據(jù)庫中刪除文章?？梢詣?chuàng)建一個確認刪除的頁面，詢問作者是否真的要刪除該文章，如果確認刪除，則從數(shù)據(jù)庫中刪除該文章。以下是一個簡單的PHP代碼，用于從數(shù)據(jù)庫中刪除文章評論功能實現(xiàn)02CREATE

TABLE

comments

(

id

INT(11)

UNSIGNED

AUTO_INCREMENT

PRIMARY

KEY,

article_id

INT(11)

UNSIGNED

NOT

NULL,

name

VARCHAR(255)

NOT

NULL,

email

VARCHAR(255)

NOT

NULL,

content

TEXT

NOT

NULL,

created_at

TIMESTAMP

DEFAULT

CURRENT_TIMESTAMP);在MySQL數(shù)據(jù)庫中創(chuàng)建一個名為“comments”的表，用于存儲博客文章的評論，可以使用以下SQL命令創(chuàng)建該評論表.

評論功能實現(xiàn)02<?php//

獲取文章的唯一標識符$article_id

=

$_GET['id'];//

連接到數(shù)據(jù)庫$connection

=

mysqli_connect('localhost',

'username',

'password',

'database_name');//

查詢文章$query

=

"SELECT

*

FROM

articles

WHERE

id

=

$article_id";$result

=

mysqli_query($connection,

$query);//

如果找到文章，則顯示它if

(mysqli_num_rows($result)

>

0)

{

$article

=

mysqli_fetch_assoc($result);

echo

"<h1>"

.

$article['title']

.

"</h1>";

echo

"<p>"

.

$article['content']

.

"</p>";

//

查詢文章的評論

$query

=

"SELECT

*

FROM

comments

WHERE

article_id

=

$article_id";

$result

=

mysqli_query($connection,

$query);

//

如果有評論，則顯示它們

if

(mysqli_num_rows($result)

>

0)

{

while

($comment

=

mysqli_fetch_assoc($result))

{

echo

"<div

class='comment'>";

echo

"<p>"

.

$comment['name']

.

"

評論于

"

.

$comment['created_at']

.

"</p>";

echo

"<p>"

.

$comment['content']

.

"</p>";

echo

"</div>";

}

}

else

{

echo

"<p>暫時沒有評論。</p>";

}

//

顯示添加評論的表單

echo

"<h2>添加評論</h2>";

echo

"<form

method='POST'

action='"

.

$_SERVER['PHP_SELF']

.

"?id=$article_id'>";

echo

"<label>姓名：</label>";

echo

"<input

type='text'

name='name'><br>";

echo

"<label>郵箱：</label>";

echo

"<input

type='email'

name='email'><br>";

echo

"<label>評論：</label>";

echo

"<textarea

name='content'></textarea><br>";

//

提交按鈕

echo

"<br><br>";

echo

"<input

type='submit'

value='提交'>";

echo

"</form>";

//

處理提交的評論

if

($_SERVER['REQUEST_METHOD']

==

'POST')

{

//

獲取提交的評論信息

$name

=

$_POST['name'];

$email

=

$_POST['email'];

$content

=

$_POST['content'];

//

插入評論到數(shù)據(jù)庫

$query

=

"INSERT

INTO

comments

(article_id,

name,

email,

content,

created_at)

VALUES

('$article_id',

'$name',

'$email',

'$content',

NOW())";

$result

=

mysqli_query($connection,

$query);

//

如果評論插入成功，則顯示成功消息

if

($result)

{

echo

"<p>評論已提交。</p>";

}

else

{

echo

"<p>提交評論時出現(xiàn)了問題，請稍后再試。</p>";

}

}}//

關(guān)閉數(shù)據(jù)庫連接mysqli_close($connection);?>在博客文章頁面中，可以通過查詢數(shù)據(jù)庫中的評論表格，獲取該文章的評論，并將它們顯示在頁面上?？梢允褂靡韵翽HP代碼實現(xiàn)這一功能評論功能實現(xiàn)02//

連接到數(shù)據(jù)庫$connection

=

mysqli_connect("localhost",

"username",

"password",

"database");//

檢查是否提交了一個有效的評論

IDif

(isset($_GET['delete_comment'])

&&

is_numeric($_GET['delete_comment']))

{

$comment_id

=

$_GET['delete_comment'];

//

執(zhí)行SQLDELETE

語句，刪除評論

$query

=

"DELETE

FROM

comments

WHERE

id

=

'$comment_id'";

$result

=

mysqli_query($connection,

$query);

//

如果刪除成功，則顯示成功消息

if

($result)

{

echo

"<p>評論已成功刪除。</p>";

}

else

{

echo

"<p>刪除評論時出現(xiàn)了問題，請稍后再試。</p>";

}}//

關(guān)閉數(shù)據(jù)庫連接mysqli_close($connection);要實現(xiàn)評論刪除功能，需要添加一個刪除評論的鏈接或按鈕，并編寫刪除評論的代碼。以下是一種實現(xiàn)評論刪除的方式課堂實踐一、任務(wù)名稱：完成博客系統(tǒng)文章發(fā)布功能二、任務(wù)內(nèi)容：使用PHP開發(fā)語言，根據(jù)老師講授的開發(fā)思路開發(fā)博客系統(tǒng)的文章發(fā)布和評論發(fā)布功能。三、工具需求：瀏覽器、Vscode、Apache、MySQL、PHP四、任務(wù)要求：完成實踐練習后，由老師檢查完成情況。課堂思考一、PHP中有哪些連接數(shù)據(jù)庫的方式？二、PHP中如何保障數(shù)據(jù)庫的安全操作？三、用戶的惡意輸入是否會對客戶端產(chǎn)生影響？課后拓展：跨站腳本攻擊請同學們通過互聯(lián)網(wǎng)檢索跨站腳本攻擊的相關(guān)資料，學習并研究跨站腳本攻擊的原理，下節(jié)課會抽點部分同學上來給大家講解自己研究的成果。THANK

YOUToBeContinued項目四

安全的用戶輸入Web安全與防護本任務(wù)要點學習目標理解跨站腳本攻擊的原理和類型理解并熟悉跨站腳本攻擊的原理理解并熟悉跨站腳本攻擊的分類任務(wù)二

跨站腳本攻擊的原理目錄CONTENTS01/反射型XSS02/存儲型XSS03/DOM型XSS反射型XSS01反射型XSS（Cross-SiteScripting）攻擊是通過向用戶發(fā)送包含惡意腳本的鏈接或者欺騙用戶點擊鏈接來實現(xiàn)攻擊的一種方式。與存儲型XSS攻擊不同，反射型XSS攻擊并不需要攻擊者將惡意腳本存儲在目標網(wǎng)站上，而是將惡意腳本作為參數(shù)發(fā)送到目標網(wǎng)站上，目標網(wǎng)站將惡意腳本反射回用戶的瀏覽器執(zhí)行，從而完成攻擊。具體來說，反射型XSS攻擊主要包括以下幾個步驟：（1）攻擊者構(gòu)造惡意URL，例如：/search?keyword=<script>alert('XSS')</script>

（2）用戶點擊惡意URL，Web應(yīng)用程序接收到請求后解析URL參數(shù)，并將惡意腳本注入到響應(yīng)中；（3）用戶瀏覽器接收到響應(yīng)后，覽器會將其中的惡意腳本解析并執(zhí)行，彈出一個對話框，顯示'XSS'。

存儲型XSS02存儲型XSS（Cross-SiteScripting）攻擊是一種存儲再加載的攻擊方式。攻擊者向Web應(yīng)用程序提交帶有惡意腳本的數(shù)據(jù)，例如評論、留言、上傳文件等，當其他用戶訪問包含惡意腳本的數(shù)據(jù)時，惡意腳本會被注入到頁面中并執(zhí)行。具體來說，存儲型XSS攻擊主要包括以下幾個步驟：（1）攻擊者向Web應(yīng)用程序提交包含惡意腳本的數(shù)據(jù)，例如評論、留言等；（2）Web應(yīng)用程序?qū)瑦阂饽_本的數(shù)據(jù)存儲在數(shù)據(jù)庫中，等待用戶訪問；（3）當用戶訪問包含惡意腳本的頁面時，瀏覽器解析頁面，并執(zhí)行其中的惡意腳本；

（4）攻擊者利用惡意腳本竊取用戶的敏感信息、劫持用戶會話或進行其他惡意操作。DOM型XSS03DOM型XSS（Cross-SiteScripting）攻擊是一種基于瀏覽器端的XSS攻擊方式，攻擊者構(gòu)造特定的URL或表單，將惡意腳本注入到Web頁面中，通過修改DOM（文檔對象模型）來達到攻擊的目的。DOM型XSS攻擊和傳統(tǒng)的反射型和存儲型XSS攻擊不同，它不需要將惡意腳本注入到Web服務(wù)器端，而是通過構(gòu)造特定的URL或表單，直接在用戶的瀏覽器中執(zhí)行攻擊代碼。DOM型XSS攻擊的基本原理如下：（1）攻擊者構(gòu)造惡意URL，例如：/search#<script>alert('XSS')</script>

（2）用戶點擊惡意URL，Web應(yīng)用程序接收到請求后解析；（3）解析惡意URL時，瀏覽器將#后面的內(nèi)容作為頁面內(nèi)部錨點處理，并在DOM樹中查找對應(yīng)的元素；（4）攻擊者構(gòu)造的惡意腳本會修改頁面中的元素和屬性，從而執(zhí)行攻擊代碼。課堂實踐一、任務(wù)名稱：理解跨站腳本攻擊的原理與類型二、任務(wù)內(nèi)容：回顧上一節(jié)課的代碼是否存在問題三、工具需求：瀏覽器、Vscode、Apache、MySQL、PHP四、任務(wù)要求：小組討論后輪流進行發(fā)言，老師進行點評。課堂思考一、跨站腳本攻擊為什么簡稱為XSS而不是CSS？二、跨站腳本攻擊能造成什么樣的危害？三、反射型XSS和存儲型XSS有什么區(qū)別？四、DOM型XSS和反射型XSS有什么區(qū)別？課后拓展：XSS檢測利用請同學們通過互聯(lián)網(wǎng)檢索跨站腳本攻擊的檢測和利用手段，學習并研究跨站腳本攻擊的檢測和利用手段，下節(jié)課會抽點部分同學上來給大家講解自己研究的成果。THANK

YOUToBeContinued項目四

安全的用戶輸入Web安全與防護本任務(wù)要點學習目標檢測和利用跨站腳本漏洞熟悉跨站腳本漏洞的檢測方法熟悉跨站腳本漏洞的利用方法任務(wù)三

跨站腳本漏洞檢測與驗證目錄CONTENTS01/檢測跨站腳本漏洞02/利用跨站腳本漏洞檢測跨站腳本漏洞01（1）在應(yīng)用程序中找到一個輸入字段，例如搜索框、評論框或聯(lián)系表單。輸入一些HTML或JavaScript代碼，例如：<script>alert('XSS');</script>

（2）提交輸入并觀察瀏覽器中是否彈出了一個警告框。如果彈出了警告框，說明應(yīng)用程序中存在跨站腳本漏洞。（3）如果沒有彈出警告框，嘗試在輸入中添加一些其他惡意代碼，例如cookie竊取腳本、重定向腳本或惡意HTML標簽。觀察是否能夠成功執(zhí)行這些代碼。（4）如果沒有發(fā)現(xiàn)跨站腳本漏洞，請嘗試在其他輸入字段中進行類似的測試。例如，如果應(yīng)用程序包含一個上傳文件功能，則可以嘗試上傳包含惡意腳本的HTML文件。如果無法手動檢測跨站腳本漏洞，可以使用自動化工具來掃描應(yīng)用程序。常見的跨站腳本掃描工具包括OWASPZAP、Netsparker、Acunetix、BurpSuite等。利用跨站腳本漏洞02（1）竊取用戶會話令牌或其他敏感信息。攻擊者可以編寫JavaScript代碼來獲取當前用戶的cookie，然后將該cookie發(fā)送到攻擊者的服務(wù)器。攻擊者可以使用竊取的cookie登錄用戶的帳戶，并執(zhí)行其他惡意操作。（2）修改網(wǎng)頁內(nèi)容。攻擊者可以注入惡意腳本來更改網(wǎng)頁內(nèi)容，例如添加廣告、修改表單字段或注入其他惡意代碼。（3）欺騙用戶。攻擊者可以注入惡意腳本來模擬合法的網(wǎng)頁內(nèi)容，例如偽造登錄表單、模擬警告框或創(chuàng)建虛假的鏈接。項目四

安全的用戶輸入Web安全與防護本任務(wù)要點學習目標對跨站腳本漏洞進行修復(fù)和防范熟悉跨站腳本漏洞的修復(fù)防范方法任務(wù)四

跨站腳本漏洞修復(fù)與防范目錄CONTENTS01/對用戶輸入進行處理02/使用內(nèi)容安全策略03/使用安全Cookie對用戶輸入進行處理01$input

=

"<script>alert('XSS');</script>";$output

=

strip_tags($input);echo

$output;

//

輸出:

alert('XSS');過濾輸入數(shù)據(jù)：對于用戶輸入的數(shù)據(jù)，可以使用過濾器或正則表達式等方法進行過濾，去除其中的HTML標簽和JavaScript代碼；PHP中可以使用strip_tags()函數(shù)去除HTML標簽；JavaScript中可以使用innerHTML屬性去除HTML標簽，使用encodeURI()函數(shù)編碼URL等。例如使用strip_tags()函數(shù)去除HTML標簽：對用戶輸入進行處理01$email

=

"";if

(!filter_var($email,

FILTER_VALIDATE_EMAIL))

{

echo

"Invalid

email

format";}驗證輸入數(shù)據(jù)：在接收到用戶輸入后，應(yīng)該對其進行驗證，確保其符合預(yù)期的格式和類型。例如，對于輸入的郵件地址，可以使用PHP的filter_var()函數(shù)進行驗證；對于輸入的日期，可以使用JavaScript的Date對象進行驗證。例如使用filter_var()函數(shù)驗證輸入的郵件地址：對用戶輸入進行處理01$input

=

"<script>alert('XSS');</script>";$output

=HTMLspecialchars($input,

ENT_QUOTES,

'UTF-8');echo

$output;

//

輸出:

<script>