O que deve fazer é utilizar o htmlentities()
na hora de exibir o resultado.
Isto é vulnerável:
// Input:
$Nome = $_POST['nome'];
// Output:
echo $Nome;
Isto é relativamente seguro contra XSS:
// Input:
$Nome = $_POST['nome'];
// Output:
echo htmlentities($Nome, ENT_QUOTES | ENT_HTML5, 'UTF-8');
O ENT_QUOTES
é utilizado para que o PHP escape o '
e também o "
. Já o ENT_HTML5
e o UTF-8
é utilizado para que definimos a "linguagem" que estamos "se comunicando", basicamente o mesmo principio que temos que fazer quando utilizamos o mysqli_real_escape_string. Para ter certeza de temos o controle sobre a codificação do caractere e que ele seja o mesmo especificado pelo o htmlentities
defina o mesmo no <meta>
e também no header de Content-Type
.
Nunca salve o resultado do htmlentities
, o Wordpress, que publicamente diz que segurança não é prioridade, já fez isso no passado. O Wordpress falhou uma vez e depois novamente fracassou.
Como tudo pode dar errado...
Ainda temos alguns recursos para prevenir que os danos de um XSS sejam maiores, defina um cookie para "httpOnly" e "Secure", requer HTTPS, utilizando:
session.cookie_httponly = On
session.cookie_secure = On
Utilize o cabeçalho de Content-Security-Policy
para prevenir carregar conteúdo externo ao site e definir quais sites são confiáveis, por exemplo:
Content-Security-Policy: script-src 'self' https://cdn.example.net https://ajax.googleapis.com https://www.google-analytics.com; child-src 'none'; object-src 'none'; upgrade-insecure-requests
Isto irá impedir que alguém carregue um script
de inseguro.com.
Links recomendados: