1

Queria saber como proteger o input de ataques com códigos script nas caixas de input, se alguém souber como fazer ajudava muito

<form method="POST" action="index.php?page=dados_encomenda">
    <input type="text" class="form-control" name= "nome" id="nome" placeholder="Introduza o seu nome" required>
   <button type="submit" class="btn btn-primary"><span class="glyphicon">
   </span>Encomendar</button>
</form>

1 Resposta 1

2

O que deve fazer é utilizar o htmlentities() na hora de exibir o resultado.

Isto é vulnerável:

// Input:
$Nome = $_POST['nome'];

// Output:
echo $Nome;

Isto é relativamente seguro contra XSS:

// Input:
$Nome = $_POST['nome'];

// Output:  
echo htmlentities($Nome, ENT_QUOTES | ENT_HTML5, 'UTF-8');

O ENT_QUOTES é utilizado para que o PHP escape o ' e também o ". Já o ENT_HTML5 e o UTF-8 é utilizado para que definimos a "linguagem" que estamos "se comunicando", basicamente o mesmo principio que temos que fazer quando utilizamos o mysqli_real_escape_string. Para ter certeza de temos o controle sobre a codificação do caractere e que ele seja o mesmo especificado pelo o htmlentities defina o mesmo no <meta> e também no header de Content-Type.

Nunca salve o resultado do htmlentities, o Wordpress, que publicamente diz que segurança não é prioridade, já fez isso no passado. O Wordpress falhou uma vez e depois novamente fracassou.


Como tudo pode dar errado...

Ainda temos alguns recursos para prevenir que os danos de um XSS sejam maiores, defina um cookie para "httpOnly" e "Secure", requer HTTPS, utilizando:

session.cookie_httponly = On
session.cookie_secure = On

Utilize o cabeçalho de Content-Security-Policy para prevenir carregar conteúdo externo ao site e definir quais sites são confiáveis, por exemplo:

Content-Security-Policy: script-src 'self' https://cdn.example.net https://ajax.googleapis.com https://www.google-analytics.com; child-src 'none'; object-src 'none'; upgrade-insecure-requests

Isto irá impedir que alguém carregue um script de inseguro.com.


Links recomendados:

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .