有效防止PHP表單中的跨站腳本攻擊（XSS）方法解析

gitbox 2025-07-22

什麼是跨站腳本攻擊（XSS）？

跨站腳本攻擊（Cross Site Scripting，簡稱XSS）是一種常見的網絡安全漏洞。攻擊者通過在網頁中註入惡意代碼，當用戶訪問該頁面時，這些代碼會被執行，可能導致用戶信息洩露、惡意操作執行甚至網站被控制。

舉例來說，如果一個表單沒有防護措施，攻擊者可以插入類似以下的惡意腳本：

 <span class="fun"><script type="text/javascript">alert(&#39;hello world&#39;);</script></span>

用戶提交該表單後，這段腳本會被注入頁面，訪問該頁面的所有用戶都會受到影響。

如何防止XSS攻擊？

對用戶輸入進行嚴格過濾和驗證

防止XSS的第一步是對所有用戶輸入的數據進行有效過濾和驗證。雖然PHP內置了強大的過濾功能，但建議結合業務需求，編寫針對性的驗證函數，確保數據安全。例如，可以定義一個函數驗證輸入是否只包含字母和數字：

 function isStringValid($str) {
    return preg_match('/^[a-zA-Z0-9]+$/', $str);
}

另外，針對用戶輸入的特殊字符應進行轉義處理，避免其被解析為可執行代碼：

 function escapeOutput($str) {
    return htmlspecialchars($str, ENT_QUOTES, 'UTF-8');
}

該函數使用htmlspecialchars()將HTML標籤進行編碼，從而防止JavaScript代碼注入。

利用CSRF Token提升安全性

使用CSRF（跨站請求偽造）Token是一種有效的防護手段。服務器生成隨機令牌存儲在Cookie中，並將該令牌放入表單隱藏字段。提交表單時，服務器核對兩個令牌是否一致，確保請求來源合法，阻止偽造請求。

實現思路是生成隨機字符串，寫入Cookie和表單隱藏字段，提交時驗證兩者是否匹配，只有匹配才處理數據。

合理配置安全策略

除輸入驗證外，還應配置其他安全措施：

禁止使用eval()函數，因為它會執行任意代碼，容易引發安全風險。

啟用內容安全策略（Content Security Policy，CSP），限制瀏覽器加載和執行的資源，減少XSS攻擊面。

限製文件上傳類型和大小，避免惡意文件通過上傳渠道進入服務器。

合理處理輸入和輸出編碼

在輸出數據時，避免直接插入用戶輸入，特別是包含HTML標籤的內容。應當使用編碼函數將特殊字符轉義，防止腳本執行。例如：

 $string = '<script>alert("XSS");</script>';
echo '<label>' . $string . '</label>';  // 不安全寫法
echo '<label>' . htmlspecialchars($string) . '</label>';  // 安全寫法

總結

跨站腳本攻擊（XSS）是Web安全中常見且危險的漏洞。通過對用戶輸入嚴格驗證與過濾、使用CSRF Token、合理配置安全策略及規範輸出編碼，開發者可以有效降低XSS攻擊風險。持續關注安全動態並更新防護措施，才能更好地保障用戶隱私和網站安全。