phalcon: 上下文转义
转义特殊的字符
一:字符转义
$maliciousTitle = '</title><script>alert(1)</script>';
$e = new Phalcon\Escaper();
echo $e->escapeHtml($maliciousTitle)
最不安全的情形即是在html标签中插入非安全的数据
我们可以使用escapeHtml方法对这些文本进行转义:
$e->escapeHtml('></div><h1>myattack</h1>');
二,html属性转义
<table
width="<?php echo $e->escapeHtmlAttr('"><h1>Hello</table'); ?>"
><tr><td>
Hello
</td></tr></table> 结果如下:
<table
width=""><h1>Hello</table"
><tr><td>
Hello
</td></tr></table>
三,url的转义
一些html的属性如href或url需要使用特定的方法进行转义:
我们这里使用escapeUrl方法进行url的转义:
<a
href="<?php echo $e->escapeUrl('"><script>alert(1)</script><a href="#'); ?>"
>
Some link
</a> 结果如下:
<a
href="%22%3E%3Cscript%3Ealert%281%29%3C%2Fscript%3E%3Ca%20href%3D%22%23"
>
Some link
</a>
四,CSS转义
CSS标识/值也可以进行转义:
这里我们使用escapeCss方法进行转义:
<a
style="color: <?php echo $e->escapeCss('"><script>alert(1)</script><a href="#'); ?>"
>
Some link
</a> 结果:
<a
style="color: \22 \3e \3c script\3e alert\28 1\29 \3c \2f script\3e \3c a\20 href\3d \22 \23 "
>
Some link
</a>
五,js转义
插入Javascript代码的字符串也需要进行适当的转义:
这里我们使用escapeJs进行转义:
<script>
document.title = '<?php echo $e->escapejs("'; alert(100); var x='"); ?>'
</script>
结果:
<script>
document.title = '\x27; alert(100); var x\x3d\x27'
</script>