Czy bezpieczne jest odblokowanie ampersand do wprowadzania danych przez użytkownika?

Question

Po kilku godzinach szukania błędów odkryłem przyczynę jednego z moich najbardziej irytujących błędów.

Kiedy użytkownicy wpisują mi wiadomość na mojej stronie, mogą ją tytułować za pomocą zwykłego tekstu i encji html.

Oznacza to, że w niektórych przypadkach użytkownicy będą wpisywać tytuły ze wspólnymi obrazami encji html, takimi jak ta twarz. (͡ ° ͜ʖ ͡ °).

Aby zapobiec wstrzykiwaniu html, używam htmlspecialchars(); na tytule i denerwująco przekształciłby obraz w jego format strony HTML po wyświetleniu na stronie później.

(͡° ͜ʖ ͡°) 

zdałem sobie sprawę, problem tutaj było to, że tytuł był zakodowany jako powyższym przykładzie, a htmlspecialchar, jak robi to, co chciałem i wtrysk kodowanie możliwe html, było obrócenie ampersanda w podmiotach do

&. 

Przez to, że nie uciekłem ze wszystkich amperandów i zmieniono je z powrotem na &, naprawiłem mój problem i twarz wyszła zgodnie z oczekiwaniami.

Jednak nie jestem pewien, czy jest to nadal bezpieczne przed złośliwym html. Czy bezpieczne jest dekodowanie ampersandów w tytułach przypisanych przez użytkownika? Jeśli nie, jak mogę rozwiązać ten problem?

Answer 1

Jeśli twoje obiekty są wyświetlane jako tekst, prawdopodobnie dwa razy dzwonisz pod numer htmlspecialchars().

Jeśli nie wywołasz dwa razy jawnie numeru htmlspecialchars(), prawdopodobnie jest to automatyczne przejście po stronie przeglądarki, które może wystąpić, jeśli strona zawierająca formularz używa przestarzałego jednobajtowego kodowania, takiego jak Windows-1252. Taki automatyczny escaping jest jedynym sposobem poprawnego przedstawienia znaków nieobecnych w zestawie znaków określonego kodowania jednobajtowego. Wszystkie obecne przeglądarki (w tym Firefox, Opera i IE) robią to.

Upewnij się, że używasz kodowania Unicode (w szczególności UTF-8).

Aby użyć kodowania Unicode, dodaj element <meta charset="utf-8" /> do sekcji HEAD strony HTML zawierającej formularz. I nie zapomnij zapisać samej strony HTML w kodowaniu UTF-8. Aby używać Unicode w PHP, zwykle wystarczy użyć multibyte (mb_ prefixed) string functions. Wreszcie, silniki baz danych, takie jak MySQL, obsługują UTF-8 dawno temu.

Jako tymczasowe obejście można wyłączyć ponowne kodowanie istniejących obiektów, ustawiając 4. parametr ($double_encode) funkcji htmlspecialchars() na false.

Answer 2

Nie ma prostej odpowiedzi. Możesz cofnąć się pod kątem <script...> do <script...> i zakończyć w kłopotach, jednak wygląda na to, że kod został podwójnie zakodowany - prawdopodobnie raz na wejściu, a następnie ponownie, gdy wyjdziesz na ekran. Jeśli możesz zagwarantować, że został podwójnie zakodowany, to bezpieczne jest cofnięcie jednego z nich.

Jednak najlepszym rozwiązaniem jest, aby zachować „surową” wartość w pamięci i zdezynfekować/kodowanie do wyprowadzania do baz danych, HTML, JSON itp

Tak - gdy pojawi się wejście, zdezynfekować go do niczego nie chcę, ale nie konwertuj go na HTML, ani nie uciekaj, ani niczego innego na tym etapie. Ucieknij do bazy danych, html zakoduj ją przy wyświetlaniu na ekranie/xml itp.