HP fortify 问题 - 显示 PHP 中的跨站点脚本验证不佳

Question

我正在使用 rawurlencode 方法以 json 格式向客户端发送数据。它在 hpfortify 的 rawurlencode 方法中显示跨站点脚本验证不佳。如何消除此问题。非常感谢任何建议。

我的代码是 -

 $json_encoded = rawurlencode($json);
$json_encoded = (preg_match("/[%\da-zA-Z-_]+/",htmlspecialchars($json_encoded,ENT_QUOTES, 'UTF-8')) ? $json_encoded : 0);
 echo $json_encoded;

echo $json_encoded 出现错误（xss 验证不佳）。

Answer 1

如果您使用任何非标准验证功能，它总是会报告此问题，您需要为此功能编写自定义规则集（数据流）以从未来的扫描报告中删除，好在，它将消除具有此函数调用的所有问题。

URLencoding 不是 XSS 问题的正确解决方案，因此无论如何它都正确指出。 （虽然你在 Json 响应中发送这个，所以 xss 漏洞实际上是不可能的）

我不确定 htmlspecialchars 函数在做什么，请参考OWASP cheat sheet以确保您使用正确的验证方式。