添加斜杠可以安全地防止数组中的 xss？

Question

今天遇到了一些代码，它有一个 javascript 数组，用 php 制作，只使用 php 的 addlashes() 来清理。起初我以为这是一个简单的 XSS 漏洞，但我一直无法看到它的缺陷。这是我所说的一个例子：

foo.php

$itemList = "[";

foreach ($array as $item) 
{
    $itemList .= "'".addslashes($item)."',";
}

$itemList = "'']";

bar.html

<script>
    var a = <?php echo $itemList; ?>
</script>

显然像']; alert("xss"); b=[' 这样的东西不会有效，因为它会变成\']; alert(\"xss\"); b=[\'。 那么这真的安全吗，而且我的代码味道不存在？

`

`

编辑：

谁能告诉我如何这不起作用？我知道这不是最佳实践，并且不会在我的代码中使用它，但如果我想重写代码，我需要 proof 来说服其他人

Answer 1

不不不不不不。

为正确的工作使用正确的功能。

addslashes 不是适用于任何上下文的转义函数，它只是添加斜杠。

如果您要打印到 HTML，请使用 htmlentities（或 htmlspecialchars，如果适用）。

如果您要打印到 JavaScript，请使用 json_encode。

如果您正在构建 MySQL 查询，请使用 mysql_real_escape_string

等等

---

使用addslashes 而不是json_encode 时的滥用机会例如是字符串："</script><iframe src=hxxp://phising.mywebsite.com>"

这将结束脚本并插入来自不可信且可能有害的域的 iframe。