xss_clean(set_value('field_name')) 或 set_value('field_name') 足够安全吗？

【问题标题】：xss_clean(set_value('field_name')) or set_value('field_name') is safe enough?xss_clean(set_value('field_name')) 或 set_value('field_name') 足够安全吗？
【发布时间】：2015-04-22 17:05:13
【问题描述】：

作为CodeIgniter3's documentation says，

关于 XSS 清理的一个很大程度上未知的规则是，它应该只应用于输出，而不是输入数据。

在输出用户数据之前我应该总是使用 xss_clean() 吗？还是 set_value 为我做的？

【问题讨论】：

标签： php codeigniter codeigniter-3

【解决方案1】：

是的，set_value() 默认会应用 XSS 清理。

但是，将它与其他表单辅助函数一起使用时要小心，因为它们也这样做，并且您不希望双重转义。 As explained in the manual，您可以通过将 (boolean) FALSE 作为 set_value() 的第三个参数来关闭转义。

【讨论】：