XSS（href输出，js输出）防范措施

防御总的原则：根据实际情况对输入做过滤，对输出做转义 href输出漏洞：输出出现在a标签的href属性里面,可以使用javascript协议来执行js 后端： $message=htmlspecialchars($_GET['message'],ENT_QUOTES); $html.="<a href='{$message}'> 可以看到，虽然对htmlspecialchars（）函数做了额外的处

>>阅读原文<<